Ce signalement fait suite à un avis de sécurité émis par l’éditeur ConnectWise révélant qu’une attaque coordonnée a permis à des assaillants de prendre le contrôle des consoles d’administration d’au moins six prestataires MSP.
En l’espace de 90 minutes seulement, indique la DGSSI, les pirates ont pu exécuter des commandes malveillantes sur au moins 288 postes informatiques répartis au sein de 48 organisations.
D’après l’analyse technique relayée par le Centre marocain de veille, de détection et de réponse aux attaques informatiques (ma-CERT), l’offensive cible principalement les environnements ScreenConnect hébergés dans le Cloud (notamment les instances sous versions 26.6.6.9747 et 26.7.6.9783) intégrant cinq extensions tierces de la famille « RMM+ » : Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link. Bien que ConnectWise ait désactivé ces modules à titre préventif sur les environnements auxquels l’éditeur a accès, leur simple présence ne constitue pas une preuve de compromission.
Les chercheurs privilégient un lien direct avec une faiblesse d’authentification affectant l’extension « RMM+ » (versions 1.0.31 et 1.0.32), laquelle accepte une clé d’accès (access key) vide lorsqu’aucune clé n’a été configurée par l’administrateur. Une fois infiltrés, les attaquants détournent la fonction légitime « Run Command » pour installer un second client ScreenConnect sous leur contrôle, couplé à l’outil malveillant « SCKit », conçu pour :
– Maintenir la persistance : installation d’un client malveillant, remplacement du client légitime et création d’une tâche planifiée baptisée « TrapWatch ».
– Neutraliser les défenses : ajout d’exclusions dans Microsoft Defender et utilisation de AppLocker pour bloquer l’exécution des outils et commandes de remédiation lancés par les équipes IT.
– Assurer la propagation latérale : vol des sessions d’administration des techniciens afin de rebondir vers d’autres consoles ScreenConnect et d’autres prestataires accessibles.
ConnectWise indique n’avoir relevé aucune compromission de sa propre infrastructure ni faille intrinsèque au cœur de ScreenConnect, avertissant qu’une simple mise à jour logicielle ne suffit pas à éradiquer une éventuelle intrusion.
Protocole d’urgence et mesures de remédiation
Face à la sévérité de la menace, la DGSSI exhorte les organisations et leurs sous-traitants IT à déployer immédiatement une série de contre-mesures techniques :
– Neutralisation des extensions : vérifier et désactiver immédiatement les cinq extensions RMM+ identifiées — y compris sur les installations locales (On-Premises) — sans les réactiver avant nouvelles instructions de l’éditeur.
– Révocation des accès : fermer toutes les sessions actives des consoles d’administration, renouveler les mots de passe et révoquer les jetons d’authentification (tokens) liés aux comptes et fournisseurs d’identité.
– Durcissement des privilèges et audit : restreindre l’accès aux fonctions « Run Command » et « Shared Toolbox » à un cercle limité d’administrateurs, auditer les journaux de connexion et d’exécution de commandes, et exiger des prestataires IT une cartographie complète des outils RMM utilisés et des comptes habilités à opérer sur plusieurs clients.
– Surveillance et isolement : intégrer les indicateurs de compromission (IOCs) dans les outils de sécurité, centraliser les logs ScreenConnect dans le SIEM avec alertes sur les exécutions massives de commandes, et proscrire l’usage de ScreenConnect pour intervenir sur un poste suspect.
– Mise à jour des environnements locaux : pour les installations On-Premises exposées, s’assurer de l’application des correctifs relatifs aux vulnérabilités CVE-2026-3564 et CVE-2026-84869, ayant fait l’objet des précédents bulletins de sécurité de la DGSSI (réf. 62201903/26 et 68301009/26).
