Sommaire
Mercredi 11 novembre vers 17 h 47 UTC, la société de cybersécurité Huntress a repéré une campagne active visant les instances ScreenConnect (ConnectWise) hébergées dans le cloud de prestataires informatiques. Les attaquants se servent de la fonction « Run Command » de l’outil pour installer un second client ScreenConnect, contrôlé par eux, sur les postes des clients — au moins 286 terminaux chez 47 organisations, via six prestataires compromis, et les chiffres montaient encore mercredi soir.
ConnectWise a confirmé l’accès non autorisé à des comptes partenaires et désactivé par précaution cinq extensions tierces (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link) dans environ 400 environnements partenaires. Aucune faille logicielle n’a été identifiée : tout pointe vers des identifiants volés ou des sessions de techniciens détournées. Conséquence concrète : changer le mot de passe ne suffit pas — le client pirate déjà installé reste en place et doit être désinstallé machine par machine. Si votre prestataire IT utilise ScreenConnect, demandez-lui s’il a vérifié ses consoles.
Lento dit : On ne pirate plus le logiciel, on pirate le mot de passe du technicien — et c’est bien pire. Six prestataires, 286 postes, et un accès distant fantôme qu’un simple changement de mot de passe ne supprime pas. Si votre IT vous dit « on a tout réinitialisé », demandez-lui aussi s’il a cherché le deuxième client.
