AnyDesk piraté : une entreprise de 170 000 clients confirme la violation

AnyDesk, une société de logiciels d’accès à distance basée en Allemagne avec 170 000 clients dans le monde, dont Comcast et Thales, a confirmé que ses systèmes de production avaient été compromis lors d’un incident de sécurité.

L’entreprise a laissé ses clients transpirer pendant trois jours après l’échec de leur connexion et les a informés d’une maintenance imprévue. Un journal des modifications montré il a invalidé un précédent certificat de signature de code le 29 janvier.

Que suggère son précédent certificat de signature de code a été compromis.

Dans un avis de sécurité du vendredi 2 février, AnyDesk a déclaré : Suite à des indications d’un incident sur certains de nos systèmes, nous avons mené un audit de sécurité et trouvé des preuves de systèmes de production compromis. Nous avons immédiatement activé un plan de remédiation et de réponse impliquant les experts en cybersécurité CrowdStrike.

AnyDesk piraté : pas de ransomware, pas de détails

L’incident n’était pas lié à un ransomware, a-t-il ajouté.

AnyDesk, fondée en 2014 et comptant des clients dans 190 pays, a ajouté : Nous n’avons aucune preuve que les appareils des utilisateurs finaux aient été affectés.

Nous pouvons confirmer que la situation est sous contrôle et que vous pouvez utiliser AnyDesk en toute sécurité. Veuillez vous assurer que vous utilisez la dernière version, avec le nouveau certificat de signature de code ajouté, dans un rapport très détaillé.

Certificats de signature de code, émis par un tiers de confiance, tel qu’un autorité de certification, incluent des informations sur les logiciels. Lorsqu’il est installé, un système d’exploitation vérifie une signature par rapport au certificat pour s’assurer qu’elle n’a pas été falsifiée. Si c’est le cas, il peut être utilisé pour signer des logiciels malveillants, laissant les systèmes penser qu’ils proviennent d’une source fiable.

L’entreprise n’a pas explicitement précisé que son certificat avait été volé. (Le chercheur en sécurité Florian Roth, qui a rapidement créé une règle YARA pour détecter les binaires signés avec un certificat de signature AnyDesk potentiellement compromis avant même que l’entreprise ne confirme l’incident, a noté sur Xqu’il avait trouvé « plus de 2 300 binaires signés avec ce certificat. » . »)

AnyDesk a déclaré : Nous avons révoqué tous les certificats liés à la sécurité et les systèmes ont été corrigés ou remplacés si nécessaire. Nous révoquerons prochainement le certificat de signature de code précédent pour nos binaires.

Nos systèmes sont conçus pour ne pas stocker de clés privées, de jetons de sécurité ou de mots de passe qui pourraient être exploités pour se connecter aux appareils des utilisateurs finaux.

Par mesure de précaution, nous révoquons tous les mots de passe de notre portail Web, my.anydesk.com, et nous recommandons aux utilisateurs de modifier leur mot de passe si les mêmes informations d’identification sont utilisées ailleurs, a-t-il ajouté dans sa mise à jour.

Les rumeurs d’un piratage d’AnyDesk ont ​​largement soulevé des inquiétudes en raison de l’ampleur des dommages en aval qui peuvent être causés si un fournisseur de logiciels distant est touché. Attaque de juillet 2021 contre Kaseya est un exemple frappant. Un groupe malveillant a utilisé les vulnérabilités du logiciel de la société d’accès à distance pour pirater Plus de 50 MSP qui a utilisé ses produits en s’appuyant sur cet accès pour frapper à son tour plus de 1 500 clients MSP en aval avec un ransomware.

AnyDesk n’a partagé ni plus de détails ni aucun indicateur de compromission et a publié l’avis à 23 heures, heure allemande.

Le professionnel de la sécurité, Jake Williams, a noté sur X : « Cela ne devrait pas sortir un vendredi après-midi alors qu’ils ont mis les systèmes hors ligne il y a quelques jours. Il s’agit d’une mesure de relations publiques. Les entreprises qui sont transparentes ne se livrent pas à ces manigances.

Il a ajouté : « Chasse aux menaces dans votre environnement partout où AnyDesk est installé pour une activité anormale au cours des 30 derniers jours au moins. Lorsque le vecteur d’intrusion n’est pas partagé, vous devez présumer qu’ils ne le savent pas encore. Même s’ils le savent. , il est généralement difficile de dire ce qui a été accédé. Pensez-y : pensez-vous qu’un acteur malveillant a sauté sur une machine et a extrait un certificat de signature de code et c’est tout ? Non ? Oh, d’accord. Pensez à désactiver AnyDesk dans votre environnement, soit en désactiver l’agent via GPO ou bloquer au niveau du réseau jusqu’à ce que l’on en sache davantage. Je n’ai aucune connaissance interne de cet incident particulier. Mais j’ai travaillé sur de nombreux incidents dans ma journée et les reportages sur celui-ci puent le ciel. « .