Une campagne de rançongiciels vise les MSP via ScreenConnect

Une campagne de cyberattaque en cours cible les fournisseurs de services gérés (MSP) en abusant de la plateforme d’accès à distance ScreenConnect. L’opération, découverte le 11 novembre 2026 par la société de cybersécurité Huntress, a déjà compromis au moins six MSP et déployé des clients ScreenConnect malveillants sur 288 points de terminaison gérés répartis dans 48 organisations. Le bilan continue de s’alourdir au fil de l’enquête.

La particularité de cette attaque réside dans son mode opératoire : il ne s’agit pas d’une vulnérabilité zero-day dans le logiciel ScreenConnect lui-même, mais d’un détournement de fonctionnalités légitimes. Les attaquants exploitent la fonction « Run Command » de la console d’administration pour pousser l’installation d’un client ScreenConnect pirate sur les machines gérées. Ce client « rogue » établit un accès persistant indépendant de l’environnement ScreenConnect légitime du MSP.

Plus inquiétant encore, les chercheurs de Huntress ont identifié un mécanisme de propagation latérale inédit. Lorsqu’un technicien MSP initie une session ScreenConnect vers un poste infecté, le logiciel malveillant peut rebondir vers la station de travail du technicien, y voler les sessions de navigateur et les jetons d’authentification, puis pivoter vers d’autres panneaux ScreenConnect auxquels ce technicien a accès. Cette chaîne d’infection en deux temps – du poste client vers le technicien, puis du technicien vers l’ensemble de son parc – confère à la campagne une dynamique proche du ver informatique.

Le groupe de menace, qui opère sous le pseudonyme « Addmin », déploie un outil baptisé SCKit. Livré sous forme de payload chiffré via un dropper batch encodé en Base64 (sckit-run.bat), SCKit contacte un serveur de commande et contrôle pour récupérer un script PowerShell (sckit-decoder.ps1) qui installe la boîte à outils malveillante. Les composants observés ajoutent des exclusions Microsoft Defender, installent un second client ScreenConnect sous contrôle attaquant, créent une tâche planifiée nommée « TrapWatch » et remplacent l’installation légitime de ScreenConnect par une copie compromise.

Des indices dans le code – commentaires détaillés expliquant la fonctionnalité, références explicites aux structures de données – suggèrent que certains scripts ont été générés par un modèle de langage de grande taille (LLM). Huntress a par ailleurs reconstruit, par analyse statique, une fonctionnalité supplémentaire conçue pour propager l’infection depuis la station de travail du technicien vers le panneau ScreenConnect lui-même, bien que cette capacité n’ait pas encore été observée en situation réelle.

Face à cette escalade, ConnectWise a réagi en désactivant préventivement cinq extensions tierces identifiées comme potentiellement liées à l’intrusion : Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link. La mesure touche environ 400 environnements partenaires hébergés dans le cloud. Pour les déploiements sur site, la désactivation doit être effectuée manuellement. ConnectWise insiste sur le fait que la présence de ces extensions ne prouve pas une compromission, mais que leur désactivation constitue une mesure de confinement. L’éditeur précise également que cette action n’élimine pas les logiciels malveillants, mécanismes de persistance ou accès non autorisés déjà établis sur les terminaux compromis.

Les indicateurs de compromission (IoC) partagés par Huntress et ConnectWise incluent des adresses IP (185.99.255.28, 155.94.150.39), des domaines de commande et contrôle (newnewnew.gotdns.org, soxnewwork.homedns.org, cdn007-digitaldownloads.com, sc.payproofkit.com, ns.mo7sen.dev), ainsi que des identificateurs de clients ScreenConnect pirates (2588ef5c15954b10, ed630cc2c873b091). Un script malveillant antérieur, daté de juillet 2026 et référant l’un de ces identifiants, a été retrouvé sur VirusTotal, suggérant une phase de reconnaissance ou de test préalable.

L’origine exacte de l’accès initial aux panneaux d’administration ScreenConnect reste indéterminée. La télémétrie actuelle pointe vers des identifiants compromis ou des sessions d’opérateur détournées. Les étiquettes séquentielles attribuées par les attaquants laissent penser que d’autres MSP ont pu être compromis avant la détection publique. Huntress recommande aux utilisateurs de ScreenConnect d’examiner leur historique de commandes Run, même en l’absence d’alertes, et d’éviter les sessions interactives avec des terminaux potentiellement infectés.

Sources : The Hacker News, BleepingComputer