Sommaire
La campagne qui a détourné les consoles ScreenConnect des prestataires informatiques mardi continue : une deuxième vague vise désormais les instances installées sur site, selon Blackpoint Cyber dans sa mise à jour du 13 novembre. Au total, au moins 288 postes chez 48 organisations ont été touchés en 90 minutes mardi, via la fonction « Run Command » des consoles cloud piratées, qui a installé des clients ScreenConnect pirates et la boîte à outils SCKit.
Le mécanisme est désormais documenté : SCKit installe des clients pirates persistants, et son composant RelayTrap tente de renvoyer un fichier vers le poste du technicien qui se connecte, en exploitant la faille CVE-2026-84869 (9,9/10) — corrigée dans le client 26.6.5, et les tests montrent que le correctif bloque la tentative. L’entrée initiale passerait par l’extension tierce RMM+ (versions 1.0.31 et 1.0.32 acceptant une clé API vide), objet d’une nouvelle CVE-2026-127063 notée 9,3/10. ConnectWise a désactivé cinq extensions chez environ 400 partenaires. Conduite à tenir : vérifier que le client ScreenConnect est en 26.6.5 ou plus récent, garder les extensions concernées désactivées, invalider les sessions web exposées, et passer en revue l’historique Run Command et les comptes administrateurs — retirer le client pirate ne suffit pas, la persistance survit.
Lento dit : votre outil de support à distance est devenu la porte d’entrée des pirates : si votre prestataire utilise ScreenConnect, demandez-lui ce qu’il a vérifié — et ne vous contentez pas d’un « on a changé les mots de passe ».
