Une attaque ScreenConnect a touché en moins de 90 minutes 288 postes répartis dans 48 organisations clientes d’infogérants, selon Huntress. Si votre prestataire informatique utilise ScreenConnect pour la prise en main à distance, vous devez obtenir de lui trois réponses dès aujourd’hui : extension RMM+ désactivée, clients à jour, postes vérifiés.
Comment l’attaque ScreenConnect a contourné le MFA des infogérants
ScreenConnect, édité par ConnectWise, est l’un des outils de télémaintenance les plus utilisés par les infogérants (MSP). Les attaquants ne sont pas passés par le portail de connexion classique. D’après Huntress, l’accès initial provient de RMM+, une extension tierce qui permet à des outils externes de piloter les sessions ScreenConnect via une API.
Les versions 1.0.31 et 1.0.32 de RMM+ acceptaient une clé d’accès vide lorsque l’administrateur n’en avait jamais configuré. Un attaquant pouvait donc envoyer une clé vide, passer le contrôle d’authentification et lancer des commandes à distance, sans compte utilisateur ni second facteur. Les journaux montrent des commandes exécutées sur plusieurs instances sans aucune connexion de technicien correspondante.
ConnectWise a réagi en désactivant les extensions de la famille RMM+ dans environ 400 environnements partenaires hébergés, en précisant que leur présence ne signifie pas une compromission. Pour les installations sur site, l’éditeur ne peut pas intervenir : c’est au prestataire de les désactiver lui-même (avis ConnectWise).
SCKit : le poste client devient un piège pour le technicien
Une fois la commande à distance obtenue, les attaquants installent des clients ScreenConnect supplémentaires reliés à leurs propres serveurs. Cet accès persiste même si l’infogérant coupe sa session légitime.
La boîte à outils baptisée SCKit, analysée par Blackpoint Cyber, va plus loin. Elle remplace le composant ScreenConnect du poste infecté et attend qu’un technicien s’y connecte. Elle tente alors d’envoyer un fichier malveillant « à l’envers », du poste client vers l’ordinateur du technicien, en exploitant la faille CVE-2026-84869. La CISA l’a ajoutée à son catalogue des vulnérabilités activement exploitées en septembre.
Si l’opération réussit, SCKit vole les cookies de session ScreenConnect du technicien, puis utilise ses droits pour pousser des commandes vers les autres clients de l’infogérant. Une seule PME compromise peut ainsi devenir la porte d’entrée vers toutes les autres.
Ce que le correctif bloque, et ce qu’il ne bloque pas
Bonne nouvelle : Blackpoint a testé l’exploit contre un client ScreenConnect à jour (version 26.6.5 ou ultérieure) et confirme que le correctif empêche l’exécution. Ni Huntress ni Blackpoint n’ont observé de propagation réussie pendant cette campagne.
Mais le correctif ne règle pas tout. Les chercheurs rappellent qu’une session d’opérateur détournée permet toujours d’utiliser les fonctions légitimes de l’outil (exécution de commandes, boîte à outils partagée) pour déployer un logiciel malveillant. ConnectWise prévient aussi que désactiver l’extension et changer les mots de passe ne supprime pas les accès déjà installés sur les postes.
Pour une PME, le risque est donc double : un client ScreenConnect pirate encore présent sur vos postes, et un prestataire dont les sessions d’administration restent insuffisamment protégées. Nous avions déjà décrit ce scénario dans notre analyse du risque fournisseur et de l’accès des prestataires.
Que faire maintenant
- Demandez par écrit à votre infogérant s’il utilise ScreenConnect et l’extension RMM+, et s’il l’a désactivée sur son instance, hébergée ou sur site.
- Vérifiez avec lui que tous les clients ScreenConnect de votre parc sont en version 26.6.5 ou ultérieure.
- Recherchez sur vos postes et serveurs les services « ScreenConnect Client » en double ou inconnus, et faites supprimer tout client relié à un serveur que votre prestataire ne reconnaît pas.
- Exigez que l’exécution de commandes à distance soit journalisée, réservée à des comptes nominatifs avec MFA, et que les journaux vous soient transmis sur demande.
- Planifiez une revue de tous vos outils de prise en main à distance, en suivant notre méthode pour sécuriser l’accès à distance en 7 étapes.
Un client ScreenConnect inconnu ou une commande lancée sans connexion de technicien se repère vite quand quelqu’un surveille vos postes en continu : c’est le rôle de notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- L’attaque ScreenConnect est passée par l’extension tierce RMM+, qui acceptait une clé d’accès vide.
- Le malware SCKit tente de rebondir du poste client vers le technicien de l’infogérant.
- Les clients à jour (26.6.5 et plus) bloquent l’exploit CVE-2026-84869.
- Le correctif ne supprime pas les clients pirates déjà installés : un contrôle des postes est nécessaire.
- Votre infogérant doit pouvoir répondre par écrit, aujourd’hui.