ConnectWise a désactivé cinq extensions tierces par précaution, après des signalements d'accès non autorisés à des environnements de partenaires, rapporté par The Hacker News le 12 novembre 2026. Huntress a observé des attaquants qui émettaient des commandes via des panneaux de gestion ScreenConnect hébergés dans le cloud pour installer des clients d'accès à distance non autorisés, visant au moins 288 terminaux gérés répartis dans 48 organisations.
La mesure concerne les partenaires qui utilisent Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link ou RMM+ Password Link. ConnectWise a trouvé au moins une de ces extensions dans environ 400 environnements de partenaires, un nombre d'installations qui ne permet pas de dire combien d'environnements ont été compromis. Les partenaires qui hébergent ScreenConnect sur leurs propres locaux ont été invités à désactiver eux-mêmes les extensions.
Dans son avis, rapporté par The Hacker News, ConnectWise indique que son évaluation préliminaire pointe vers un abus possible d'extensions tierces indépendantes. L'entreprise enquête encore sur la méthode d'entrée et sur l'étendue de l'incident. Elle ne dispose d'aucune preuve que son infrastructure ait été compromise, ni qu'une vulnérabilité de ScreenConnect soit en cause. Les extensions permettent à un logiciel d'émettre des commandes à distance via une interface de programmation (API), protégée par une phrase de passe que le partenaire choisit lors de la configuration.
Des clients non autorisés offrent un point d'ancrage distinct
Huntress a détecté l'activité pour la première fois vers 17 h 47 (UTC) le 11 novembre 2026. Selon ses données de télémétrie, l'entreprise a indiqué à The Hacker News que des identifiants volés ou des sessions d'opérateur détournées pourraient expliquer l'accès aux panneaux. La méthode d'entrée reste toutefois non élucidée, et Huntress n'a constaté aucune nouvelle vulnérabilité.
Une fois dans un panneau, un attaquant peut utiliser sa fonction Run Command pour installer un client ScreenConnect contrôlé par l'attaquant sur les appareils gérés. Cette installation lui assure un accès durable, sans dépendre du panneau d'origine.
Les chercheurs de Huntress Ben Nahorney et Susannah Matt ont identifié SCKit comme la boîte à outils malveillante déployée par les clients frauduleux. En plus de l'accès à distance persistant, elle met en place un piège destiné à intercepter les cookies de session, c'est-à-dire les données du navigateur qui permettent de maintenir une session ouverte.
La boîte à outils arrive via une charge utile chiffrée et via sckit-run.bat, un dropper (un script qui récupère d'autres logiciels malveillants), encodé en Base64, un procédé qui représente des données sous forme de texte. Le script batch demande sckit-decoder.ps1 à un serveur distant, et ce script PowerShell lance SCKit. D'autres composants sont conçus pour exclure des fichiers ou des emplacements de l'analyse de Microsoft Defender, ajouter un autre client ScreenConnect contrôlé par l'attaquant, enregistrer une tâche planifiée nommée TrapWatch et remplacer l'installation légitime par une installation contrôlée par l'attaquant.
Le rapport décrit aussi des signes d'une possible implication d'un grand modèle de langage dans au moins un script, en s'appuyant sur des références détaillées au code et des commentaires expliquant son fonctionnement.
Un mécanisme de propagation reconstitué à partir des fichiers
L'analyse de Huntress a mis en évidence une conception de type ver, capable de transformer la connexion d'un technicien en passerelle vers davantage d'appareils. Un terminal infecté pourrait transmettre le logiciel malveillant au poste de travail d'un technicien qui s'y connecte. Là, les sessions de navigateur enregistrées et les jetons d'authentification pourraient exposer d'autres panneaux ScreenConnect. Ces jetons sont des identifiants qu'un logiciel utilise pour autoriser un accès.
Cette capacité de propagation découle en partie de l'analyse des charges utiles : Huntress n'a observé aucun transfert réussi depuis un terminal infecté vers le poste d'un technicien, ni de ce poste vers d'autres terminaux.
La séquence reconstituée commence par Run-Lateral-Full.bat. Elle utilise la connexion pour atteindre ns.mo7sen[.]dev et récupérer un loader, qui collecte l'identifiant unique du poste de travail et l'envoie à l'attaquant. La réponse fournit une boîte à outils chiffrée personnalisée pour ce poste.
Deux scripts, Panel-Lateral.ps1 et LabConfig.ps1, travaillent ensemble pour s'emparer du cookie de session .aspxauth. Ils tentent de le présenter au panneau comme une session authentifiée et d'obtenir les jetons nécessaires pour lister les autres sessions accessibles au technicien.
Ensuite, ToolboxRelayUploader.exe exploite l'accès obtenu pour placer WithUninstall.ps1 dans la Shared Toolbox du panneau. Une requête envoyée via le panneau ordonne à toutes les sessions accessibles d'exécuter cet élément. La charge utile est conçue pour s'exécuter sous SYSTEM, un compte Windows très privilégié, et installer le piège sur ces terminaux. Environ 60 secondes après cette diffusion, l'auteur de l'envoi supprime l'élément de la Toolbox.
Huntress a également relevé des étiquettes numériques séquentielles attribuées à des fournisseurs de services gérés compromis, c'est-à-dire des entreprises qui administrent les systèmes de leurs clients. Comme la numérotation observée commençait au milieu de la séquence, les chercheurs ont avancé que d'autres fournisseurs avaient peut-être été compromis plus tôt.
Sophos relève un schéma d'installation similaire
Une alerte distincte de Sophos a signalé des déploiements ScreenConnect non autorisés provenant de trois identifiants d'instance soupçonnés d'avoir été compromis : d905b2b1b165d0a9, 4b8f4089ddaac6a9 et df1f7ef0cfacd0d8. Les instances malveillantes supplémentaires déployées dans le cadre de cette activité portaient les identifiants 2588ef5c15954b10 et ed630cc2c873b091.
Dans une installation observée, Curl.exe a récupéré ScreenConnect.ClientSetup.msi depuis 185.99.255[.]28 et l'a enregistré sous C:\Windows\TEMP\sc.msi. Un fichier de commandes généré par ScreenConnect a ensuite appelé msiexec.exe pour installer le paquet silencieusement. Sophos a aussi constaté que des scripts plaçaient des fichiers batch sur les systèmes et exécutaient PowerShell avec contournement de la stratégie d'exécution, afin de télécharger un script de second niveau depuis ns[.]mo7sen[.]dev/EadF.php?p=4.
Vérifications pour les partenaires et les techniciens
ConnectWise a fourni les indicateurs de compromission suivants, c'est-à-dire des adresses et des fichiers qui peuvent aider les enquêteurs à rechercher une activité liée :
- Adresses IP :
185.99.255[.]28,155.94.150[.]39 - Domaines et URL :
ns[.]mo7sen[.]dev,ns[.]mo7sen[.]dev/EadF.php?p=4,sc[.]payproofkit[.]com,cdn007-digitaldownloads[.]com,newnewnew[.]gotdns[.]org,Soxnewwork[.]homedns[.]org - Fichiers :
sckit-run.bat,sckit-decoder.ps1,TrapWatch.ps1,Panel-Lateral.ps1,Run-Lateral-Full.bat,runnew.cmd,ToolboxRelayUploader.exe,Sqlite3.exe
ConnectWise recommande à tous les partenaires de vérifier que leurs contrôles de sécurité fonctionnent et de conserver les journaux qui montrent une activité suspecte. Ses recommandations portent sur l'examen de :
- Les connexions depuis des emplacements inconnus, les échecs d'authentification répétés et les demandes inattendues d'authentification multifacteur (MFA), qui réclament une vérification supplémentaire de la connexion.
- Les comptes administrateur nouvellement créés et les autorisations utilisateur modifiées.
- Les installations d'extensions, les commandes à distance et les opérations dans la Toolbox qui n'étaient pas prévues.
- Les logiciels d'accès à distance non approuvés sur les appareils des clients ou les postes des techniciens.
- Les demandes de support inattendues, les messages de réinitialisation de mot de passe et les téléchargements de logiciels arrivant par un canal de confiance.
Les partenaires disposant de déploiements sur site doivent désactiver les cinq extensions identifiées par ConnectWise. Les utilisateurs de ScreenConnect doivent aussi examiner l'historique de leurs Run Command, même si aucune alerte ne s'est déclenchée.
