ScreenConnect : des clients malveillants poussés depuis des consoles cloud sur 288 machines de 48 organisations

Comment c'est arrivé

Un opérateur a lancé des commandes via la fonction « Run » de consoles ScreenConnect hébergées dans le cloud pour installer SCKit sur les machines gérées, selon Huntress, qui indique que les versions 26.6.6.9747 et 26.7.6.9783 sont concernées. La façon dont l'attaquant a accédé aux consoles n'est pas confirmée : Huntress a déclaré à The Hacker News que « la télémétrie actuelle oriente vers des identifiants compromis ou des sessions d'opérateur détournées » et qu'il n'a « pas vu de signe d'une nouvelle vulnérabilité ». Selon The Record, ConnectWise relie l'activité à l'abus d'une extension tierce indépendante, RMM+, qui expose une API de commandes à distance protégée par une phrase secrète choisie par le partenaire ; Huntress ajoute que RMM+ contourne les comptes, les rôles et la MFA de ScreenConnect, authentifie les requêtes avec une clé d'accès partagée laissée vide par défaut dans les versions 1.0.31 et 1.0.32, et qu'il n'a vu aucune connexion correspondante ; Blackpoint Cyber affirme que la boîte à outils exploite la faille CVE-2026-84869 et qu'un client entièrement à jour la bloque. Huntress estime que le code source d'un composant de SCKit, RelayTrap, semble avoir été généré par un grand modèle de langage.[1][3][4] Vérifié le 14 nov. 2026

Ce qui a été volé

SCKit installe un accès à distance persistant (un client ScreenConnect malveillant, une tâche planifiée « TrapWatch », des exclusions dans Microsoft Defender) et un piège relais qui vole le cookie de session .aspxauth sur les machines des techniciens et tente de le rejouer contre la console pour atteindre d'autres sessions. Huntress a reconstitué cette étape mais n'a pas vu de rebond réussi vers la machine d'un technicien. Ce qui a été pris chez chaque victime n'est pas public.[1] Vérifié le 14 nov. 2026

Qui est touché

Au moins 288 machines de 48 organisations clientes de Huntress, toutes touchées en 90 minutes environ, puis 205 machines de 41 organisations lors d'une seconde vague le 13 novembre, selon Huntress, qui ne donne pas de total cumulé. Sophos signale aussi des déploiements ScreenConnect malveillants qu'il attribue probablement à des instances compromises.[1][2] Vérifié le 14 nov. 2026

Acteur

Non attribué. Aucun groupe nommé. Huntress et Sophos n'attribuent pas l'activité.

CVE

CVE-2026-84869

Chronologie

1. 11 nov. 2026Huntress repère l'activité vers 17 h 47 UTC ; environ un tiers des 288 machines sont touchées dans les dix premières minutes, toutes en 90 minutes environ. [1]
2. 11 nov. 2026ConnectWise publie un avis à 22 h 45 UTC, selon Huntress, et désactive par précaution des extensions dont RMM Plus et Labtech Plus dans environ 400 environnements de partenaires. [1]
3. 11 nov. 2026Huntress publie son analyse de SCKit ; Sophos X-Ops publie des indicateurs sur les déploiements ScreenConnect malveillants qu'il a observés. [1][2]
4. 12 nov. 2026The Record rapporte la déclaration de ConnectWise : environ 400 environnements de partenaires avaient au moins une extension RMM+ installée, et « leur seule présence ne prouve pas une compromission ». ConnectWise indique que les attaquants ont déployé d'autres logiciels d'accès à distance, avec une « compromission possible des machines des techniciens lors des connexions interactives », et demande aux clients sur site de désactiver eux-mêmes l'extension. Blackpoint Cyber relie la boîte à outils à la faille CVE-2026-84869, dont la CISA avait signalé l'exploitation en septembre. [4]
5. 13 nov. 2026Huntress observe un nouveau pic de détections SCKit à 16 h 12 UTC : 205 machines dans 41 organisations. ConnectWise demande à ses partenaires de passer à ScreenConnect 26.6.5 ou plus récent, qui corrige la CVE-2026-84869, selon Huntress. [1]