ScreenConnect : des attaquants déploient des clients malveillants et le malware SCKit sur 288 postes gérés

Ce qui s'est passé

Le 12 novembre 2026, ConnectWise a désactivé cinq extensions tierces ScreenConnect dans les environnements de ses partenaires. Cette mesure de précaution faisait suite à des signalements d'accès non autorisés. ConnectWise indique n'avoir trouvé aucune vulnérabilité dans le logiciel ScreenConnect ni aucune compromission de sa propre infrastructure. Sa première évaluation est qu'un acteur malveillant pourrait abuser d'extensions tierces indépendantes installées dans les environnements des partenaires. La manière dont les attaquants sont entrés et l'ampleur complète de l'attaque font toujours l'objet d'une enquête.

Huntress suit également cette activité, qu'elle a détectée pour la première fois le 11 novembre 2026 vers 17 h 47 UTC. Selon Huntress, les attaquants ont utilisé l'accès à des panneaux ScreenConnect hébergés dans le cloud pour envoyer des commandes Run. Ces commandes ont installé des clients ScreenConnect malveillants sur au moins 288 postes gérés dans 48 organisations. Huntress n'a constaté aucune nouvelle vulnérabilité. Selon ses données actuelles, le vol d'identifiants ou la prise de contrôle de sessions d'opérateurs sont les voies d'accès les plus probables.

Les clients malveillants déploient SCKit, une boîte à outils malveillante développée sur mesure. Elle maintient un accès à distance même sans le panneau d'origine. Elle ajoute également des exclusions à Microsoft Defender, installe un second client ScreenConnect contrôlé par les attaquants, crée une tâche planifiée nommée « TrapWatch » et peut remplacer l'installation légitime de ScreenConnect par une copie contrôlée par les attaquants.

Huntress a analysé les charges utiles et découvert du code destiné à se propager. Lorsqu'un technicien se connecte à un poste infecté, ce code volerait le cookie de session .aspxauth depuis le poste du technicien. Il utiliserait ensuite ce cookie sur d'autres panneaux et enverrait une charge utile à chaque session accessible via la Shared Toolbox. Huntress indique ne pas avoir encore constaté la réussite de cette propagation. Sophos a signalé séparément des déploiements non autorisés de clients ScreenConnect suivant le même schéma.

Qui est concerné

Cette attaque touche les organisations qui utilisent ConnectWise ScreenConnect pour gérer leurs postes et serveurs, principalement les MSP et les prestataires informatiques. Les attaques observées jusqu'à présent ciblaient des panneaux ScreenConnect hébergés dans le cloud. ConnectWise a recensé environ 400 environnements partenaires ayant au moins une de ces extensions installée :

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Ces extensions fournissent une API capable d'exécuter des commandes à distance. L'accès à cette API est protégé par une phrase de passe définie par le partenaire lors de la configuration. ConnectWise insiste sur le fait que la présence de l'une de ces extensions ne signifie pas que vous êtes compromis. Aucune vulnérabilité de ScreenConnect n'a été identifiée, il n'existe donc aucun correctif à installer. Huntress a remarqué que les attaquants numérotent les MSP compromis en séquence, et que les numéros observés commencent à partir d'un certain rang. D'autres MSP ont donc pu être touchés plus tôt. C'est pourquoi Huntress conseille à tous les utilisateurs de ScreenConnect de vérifier l'historique de leurs commandes Run, même s'ils n'ont reçu aucune alerte.

Que faire maintenant

1. Si vous exploitez ScreenConnect sur site, désactivez les cinq extensions listées ci-dessus, comme le demande ConnectWise. Ne les réactivez pas tant que ConnectWise n'a pas confirmé qu'elles sont sûres.
2. Vérifiez que vos contrôles de sécurité (EDR, antivirus) fonctionnent sur les postes des techniciens et sur les postes gérés. Recherchez les exclusions Microsoft Defender que personne dans votre équipe n'a ajoutées.
3. Conservez les journaux d'audit et de session ScreenConnect, ainsi que tout autre journal montrant une activité suspecte, avant de modifier quoi que ce soit.
4. Réinitialisez les mots de passe de tous les opérateurs ScreenConnect, mettez fin aux sessions d'opérateurs actives et assurez-vous que l'authentification multifacteur est activée pour chaque compte. Modifiez les phrases de passe de toutes les API d'extensions.
5. Examinez les comptes administrateurs et les permissions dans chaque panneau. Supprimez les comptes et les droits que vous ne pouvez pas expliquer.
6. Considérez tout poste disposant d'un client ScreenConnect malveillant ou d'artefacts SCKit comme compromis. Isolez-le et enquêtez. Nettoyez-le ou reconstruisez-le avant de lui refaire confiance. Vérifiez également les postes des techniciens qui s'y sont connectés.

Comment vérifier si vous avez été touché

• Examinez l'historique des commandes Run dans vos panneaux ScreenConnect à la recherche de commandes que personne dans votre équipe n'a lancées, en particulier depuis le 11 novembre 2026. Recherchez aussi des installations d'extensions inattendues, une activité de Toolbox et des éléments de Shared Toolbox.
• Recherchez des connexions depuis des lieux inhabituels, des échecs de connexion répétés, des demandes MFA inattendues, de nouveaux comptes administrateurs et des modifications de permissions.
• Sur les postes, recherchez les clients ScreenConnect qui n'appartiennent pas à votre propre instance ainsi que tout autre logiciel d'accès à distance que vous n'avez pas approuvé. Sophos a relié l'activité aux identifiants d'instances ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 et df1f7ef0cfacd0d8, ainsi qu'aux identifiants d'instances supplémentaires 2588ef5c15954b10 et ed630cc2c873b091.
• Recherchez sur les postes une tâche planifiée nommée « TrapWatch » et les fichiers suivants : sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe et Sqlite3.exe. Sophos a également observé curl.exe télécharger ScreenConnect.ClientSetup.msi vers C:\Windows\TEMP\sc.msi, que msiexec.exe installait ensuite silencieusement.
• Recherchez dans les journaux de pare-feu, de proxy et de DNS les adresses IP 185.99.255[.]28 et 155.94.150[.]39. Recherchez également ces domaines : ns[.]mo7sen[.]dev (y compris le chemin /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org et Soxnewwork[.]homedns[.]org.
• Soyez attentifs aux demandes de support inattendues, aux messages de réinitialisation de mot de passe et aux téléchargements de logiciels qui arrivent par un canal habituellement fiable.

Si vous trouvez l'un de ces indicateurs, signalez-le à ConnectWise et considérez les panneaux concernés, les postes des techniciens et les postes touchés comme compromis.

Mise à jour du 14 novembre 2026

Les chercheurs disposent désormais d'une explication probable de la manière dont les attaquants sont entrés. Selon Huntress, l'extension RMM+ contourne les comptes utilisateurs, les rôles et l'authentification multifacteur (MFA) de ScreenConnect. Elle vérifie plutôt les requêtes au moyen d'une clé d'accès partagée unique, stockée dans les paramètres de l'extension. BleepingComputer et The Register indiquent que les versions 1.0.31 et 1.0.32 de RMM+ comportent une faille : si aucune clé d'accès n'a été configurée, elles acceptent une clé vide. Cela a permis aux attaquants d'exécuter des commandes sans se connecter à ScreenConnect et sans passer la MFA. La réinitialisation des mots de passe des opérateurs et l'activation de la MFA ne protègent donc pas une instance sur laquelle RMM+ reste activé. Aucune version corrigée de l'extension n'a encore été annoncée.

• Veillez à désactiver RMM+ et les extensions associées sur toutes les instances, y compris les serveurs sur site. ConnectWise ne peut pas les désactiver à votre place dans ce cas.

• Examinez l'historique de vos commandes Run Command à la recherche de commandes passées par RMM+, même si vos journaux de connexion ne montrent aucune connexion suspecte.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Sources

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html