La faille critique SimpleHelp est désormais activement exploitée pour déployer un nouvel infostealer baptisé Djinn et le malware TaskWeaver. Pour les PME et ETI qui s’appuient sur des outils de support à distance (RMM), cette campagne illustre un risque majeur : un logiciel d’assistance légitime devient la porte d’entrée d’un vol d’identifiants à grande échelle. Voici comment détecter et neutraliser la menace SimpleHelp avant qu’elle ne se transforme en compromission complète.
SimpleHelp exploité : ce que révèle la campagne Djinn
Des attaquants exploitent une vulnérabilité critique dans SimpleHelp, une solution de prise en main à distance très répandue chez les prestataires informatiques et les PME-ETI. Une fois le serveur compromis, ils déploient Djinn, un infostealer conçu pour exfiltrer identifiants navigateur, jetons de session, portefeuilles crypto et données d’authentification, avant d’installer TaskWeaver pour maintenir l’accès.
Le scénario est classique mais redoutable : l’outil de confiance utilisé pour réparer les postes devient le vecteur qui les infecte. Comme pour les campagnes d’infostealers Amadey et StealC, le vol d’identifiants précède souvent un déploiement de ransomware plusieurs semaines plus tard.
Pourquoi les PME-ETI sont en première ligne
- RMM = clés du royaume : un serveur SimpleHelp pilote des dizaines, voire des centaines de postes clients.
- Exposition Internet : ces serveurs sont souvent publiés en ligne pour permettre le support à distance.
- Chaîne de confiance MSP : un prestataire compromis propage l’infection à tous ses clients.
- Détection tardive : un infostealer comme Djinn agit silencieusement, sans chiffrement immédiat.
Détecter une exploitation SimpleHelp et l’infostealer Djinn
La détection repose sur la surveillance du serveur SimpleHelp et des comportements anormaux post-compromission :
- Vérifiez la version de SimpleHelp et appliquez immédiatement le correctif éditeur le plus récent.
- Recherchez des processus enfants inhabituels lancés par le service SimpleHelp (shells, PowerShell, binaires inconnus).
- Surveillez les connexions sortantes vers des domaines de commande et contrôle et les pics d’exfiltration.
- Inspectez les accès aux magasins d’identifiants navigateur et aux fichiers de session.
- Corrélez les alertes via votre SIEM : une règle de détection sur l’arbre de processus du RMM est essentielle.
Neutraliser la menace : plan d’action en PME-ETI
- Patcher d’urgence votre instance SimpleHelp (ou tout RMM exposé) — c’est la priorité absolue.
- Restreindre l’exposition : placez l’interface d’administration derrière un VPN ou une allowlist d’adresses IP.
- Rotation des identifiants : considérez tout secret manipulé par les postes gérés comme potentiellement volé, et faites tourner les mots de passe et jetons.
- Activer la MFA partout, en particulier sur les consoles d’administration RMM.
- Chasser l’infostealer Djinn : recherchez les indicateurs de compromission sur les postes gérés et isolez ceux qui présentent une exfiltration.
- Segmenter le réseau pour limiter le mouvement latéral après une compromission du RMM.
La leçon est limpide : un outil de support à distance non patché est une autoroute pour l’attaquant. En traitant SimpleHelp et tout RMM comme un actif critique — patché en priorité, surveillé en continu et isolé du reste du réseau — les PME-ETI coupent la route à l’infostealer Djinn avant qu’il n’ouvre la porte au ransomware.