Au moins 288 postes répartis dans 48 organisations clientes de Huntress ont reçu de faux clients ScreenConnect le 11 novembre, selon cet éditeur de sécurité. L’opérateur est passé par des panneaux ScreenConnect hébergés dans le cloud pour pousser ses commandes vers des machines gérées par des prestataires. Par précaution, ConnectWise a désactivé cinq extensions tierces dans environ 400 environnements de partenaires.

Ce qui est touché

Huntress a repéré l’activité vers 17 h 47 UTC. En 90 minutes, les 288 postes étaient atteints, dont environ un tiers dans les dix premières minutes. Les commandes ont touché en quelques minutes des postes rattachés à plusieurs instances ScreenConnect, via la fonction « Run Command » du panneau, et installaient des clients contrôlés par l’attaquant ainsi qu’une boîte à outils baptisée SCKit.

Sophos décrit, dans un cas qu’il a observé, le même mode opératoire : curl.exe télécharge un installeur MSI dans le dossier temporaire de Windows, un fichier de commandes généré par ScreenConnect lance msiexec pour une installation silencieuse, puis PowerShell, avec contournement de la politique d’exécution, va chercher un script de seconde phase. L’éditeur a relevé trois identifiants d’instances ScreenConnect probablement compromises (d905b2b1b165d0a9, 4b8f4089ddaac6a9 et df1f7ef0cfacd0d8) et deux identifiants d’instances malveillantes (2588ef5c15954b10 et ed630cc2c873b091).

SCKit regroupe 16 fichiers, selon Huntress. D’après l’analyse de l’éditeur rapportée par The Hacker News, il ajoute des exclusions à Microsoft Defender, installe un second client contrôlé par l’attaquant, crée une tâche planifiée « TrapWatch » et remplace l’installation ScreenConnect légitime par une copie piégée. The Hacker News relève aussi qu’au moins un script semble avoir été généré par un modèle de langage, à en juger par ses commentaires détaillés.

Le volet le plus inquiétant n’a, pour l’instant, pas été vu à l’œuvre. Le code prévoit qu’un technicien qui se connecte à une machine infectée voie sa propre station contaminée, puis que le malware vole son cookie de session .aspxauth, le rejoue contre le panneau et dépose une charge dans la « Shared Toolbox » pour atteindre les autres sessions accessibles. Huntress n’a observé aucun saut réussi vers une station de technicien, et la prise de contrôle de la console a échoué dans chaque journal récupéré à ce jour.

Une extension, pas une faille de ScreenConnect

ConnectWise affirme n’avoir trouvé aucune trace d’une compromission de son infrastructure ni d’une vulnérabilité dans ScreenConnect. Son hypothèse, encore en cours de validation : l’abus d’extensions tierces de la famille RMM+, qui exposent une API capable d’exécuter des commandes à distance, protégée par une phrase secrète que le partenaire configure à l’installation. Sont visées Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link. Leur simple présence ne prouve aucune compromission, précise l’éditeur.

Huntress a ensuite resserré le tir. Les versions 1.0.31 et 1.0.32 de RMM+ acceptaient une clé d’accès vide si l’administrateur n’en avait jamais défini. Or l’extension contourne les comptes, les rôles et le MFA de ScreenConnect : faute de clé configurée, un appelant passait le contrôle. Cela colle aux observations (des commandes sans connexion correspondante), mais le vecteur initial reste officiellement à l’étude. Huntress a par ailleurs indiqué à The Hacker News que sa télémétrie pointait vers des identifiants compromis ou des sessions d’opérateurs détournées.

Rappel utile : en septembre, Huntress avait déjà traité une activité comparable, avec de faux clients ScreenConnect. ConnectWise avait ensuite publié la version 26.6.5 contre la CVE-2026-84869 (CVSS 9,9, inscrite au catalogue CISA des failles exploitées). Ni ConnectWise ni Huntress ne relient cette faille à l’incident actuel, mais une installation sur site encore en version antérieure à 26.6.5 n’a rien à faire en production ; les instances cloud, elles, ont été mises à jour automatiquement.

Que faire maintenant

Les prestataires français qui utilisent ScreenConnect et ont installé l’une des cinq extensions doivent traiter cela comme un incident potentiel. Les autres restent appelés par ConnectWise à surveiller connexions inhabituelles, nouveaux comptes administrateurs et logiciels d’accès à distance non approuvés.

• Vérifier que les cinq extensions sont désactivées. Sur une installation sur site, c’est à vous de le faire, ConnectWise ne peut pas agir à votre place. Ne les réinstallez pas en attendant de nouvelles consignes.
• Conserver les journaux d’authentification, d’installation d’extensions, d’administration, de Run Command et de Toolbox, puis chercher comptes, droits, commandes et logiciels d’accès à distance inattendus.
• Révoquer les sessions ScreenConnect et celles du fournisseur d’identité, changer les identifiants depuis un poste de confiance, imposer le MFA et retirer les accès d’administration superflus.
• Examiner l’historique des commandes pour repérer des déploiements de clients ou des téléchargements par curl et PowerShell suivis de msiexec, comme le recommande Sophos.
• Éviter les connexions interactives vers les machines suspectes, et inclure dans l’enquête les stations de techniciens qui s’y sont connectées.

ConnectWise prévient que désactiver les extensions et réinitialiser les mots de passe peut ne pas suffire à supprimer logiciels malveillants et persistances déjà installés : il faut isoler, conserver les preuves, nettoyer, puis valider avant de reconnecter. L’éditeur n’a aucune visibilité sur ce qui se passe chez ses partenaires après l’accès initial, l’évaluation leur revient.

Reste à voir si ConnectWise confirmera RMM+ comme point d’entrée, et si l’enquête révèle d’autres victimes que les clients de Huntress.

Fiche technique

Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• Trust Center | Advisories | ConnectWise, connectwise.com
• Malicious ScreenConnect deployments observed, sophos.com
• SCKit Worm Installs Rogue ScreenConnect Clients and Session Cookie Relays Across Hundreds of Endpoints, Huntress, 12 novembre 2026
• ScreenConnect Attacks Target at Least 288 Endpoints Across 48 Organizations With Rogue Clients, The Hacker News, 12 novembre 2026
• Active ScreenConnect attacks breach MSPs, impact dozens of organizations, BleepingComputer, 11 novembre 2026
• Avis de sécurité (connectwise.com), connectwise.com, 8 septembre 2026
• GHSA-rc8v-f46m-jcgm : A condition in the ScreenConnect client may allow files to be transferred and executed…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-84869, NVD (NIST)
• CVE-2026-84869 dans le catalogue KEV, CISA