Faille ScreenConnect : le malware SCKit vise les prestataires MSP
La faille ScreenConnect CVE-2026-84869, notée 9,9, sert de point d'entrée au malware SCKit dans une campagne visant les MSP.
Une campagne vise actuellement des déploiements de ConnectWise ScreenConnect. Pourtant, elle ne repose pas sur une vulnérabilité inédite. En effet, les attaquants exploitent une faille ScreenConnect critique, déjà corrigée par l’éditeur. Cette précision change la lecture de l’incident. Ainsi, le risque concerne surtout les serveurs restés sans mise à jour.
Ces conclusions viennent de l’Adversary Pursuit Group (APG) de Blackpoint Cyber. Les chercheurs ont d’abord récupéré une boîte à outils utilisée par les pirates. Ensuite, ils l’ont analysée. Enfin, ils ont partagé leurs constats avec la presse spécialisée.
Une faille ScreenConnect déjà corrigée, pas une nouvelle vulnérabilité
La vulnérabilité exploitée porte l’identifiant CVE-2026-84869. Elle obtient un score CVSS de 9,9 sur 10. Autrement dit, elle se situe tout en haut de l’échelle de gravité.
Un tel score signale un risque majeur. Il indique en général qu’un attaquant peut agir à distance, avec peu de contraintes. Toutefois, l’éditeur a publié un correctif. La menace pèse donc sur les organisations qui n’ont pas appliqué cette mise à jour.
Cette distinction est importante. Beaucoup d’équipes surveillent les nouvelles failles zero-day. Pourtant, les campagnes les plus efficaces s’appuient souvent sur des défauts connus. En effet, les serveurs d’accès à distance restent fréquemment exposés sur Internet. De plus, ils sont rarement mis à jour assez vite.
Ce que révèle la boîte à outils SCKit
Le logiciel malveillant découvert est baptisé SCKit. Les chercheurs de Blackpoint Cyber l’ont retrouvé dans l’outillage récupéré lors de leur enquête. Il s’agit d’un ensemble conçu pour tirer parti de ScreenConnect.
Le point essentiel tient à l’usage détourné des sessions d’assistance. Normalement, ScreenConnect sert à prendre la main sur un poste pour dépanner un utilisateur. Or ce mécanisme légitime peut devenir un chemin d’attaque. Ainsi, un acteur malveillant qui s’y insère profite d’un canal déjà autorisé sur le réseau.
Ce type de détournement présente plusieurs avantages pour un attaquant :
- le trafic ressemble à une activité d’administration normale ;
- l’outil est déjà installé et approuvé par l’entreprise ;
- l’accès offre un contrôle étendu sur les machines connectées.
Par conséquent, la détection devient plus délicate. Les équipes de sécurité doivent donc distinguer une vraie session de support d’une session détournée.
Pourquoi les MSP sont particulièrement exposés
Les fournisseurs de services gérés, ou MSP, utilisent ScreenConnect pour administrer de nombreux clients. Ainsi, une seule instance donne accès à plusieurs environnements. C’est précisément ce qui la rend attractive.
Si un attaquant compromet le serveur d’un prestataire, il ne touche pas une seule entreprise. Il peut potentiellement atteindre l’ensemble de son portefeuille de clients. Par ailleurs, le titre de l’analyse parle de chemins d’attaque possibles vers les MSP. Le risque est donc celui d’une compromission en cascade.
De plus, les clients ne contrôlent pas la sécurité de leur prestataire. Ils font confiance à ses outils et à ses accès. Ainsi, un incident chez le MSP peut se propager sans que les clients en soient informés immédiatement.
Notons que les informations publiques disponibles restent limitées à ce stade. Les détails complets du fonctionnement de SCKit n’ont pas été précisés. Il en va de même pour l’ampleur de la campagne et le nombre de victimes. Il convient donc de rester prudent sur les conséquences réelles.
Corriger la faille ScreenConnect et durcir l’environnement
La priorité est simple : appliquer le correctif associé à la CVE-2026-84869. Un serveur ScreenConnect non mis à jour doit être considéré comme à risque. Cela vaut surtout s’il est accessible depuis Internet.
Ensuite, les équipes peuvent vérifier si une compromission a déjà eu lieu. En effet, une mise à jour ne supprime pas un accès installé auparavant. Il faut donc examiner l’historique des connexions et des sessions.
Voici les pistes à explorer :
- contrôler les comptes administrateurs et supprimer ceux qui sont inconnus ;
- relire les journaux de sessions à la recherche d’horaires ou d’origines inhabituels ;
- vérifier la présence d’éléments ajoutés au serveur ou aux postes gérés ;
- limiter l’exposition du serveur et activer l’authentification multifacteur ;
- isoler l’instance si un doute subsiste, puis lancer une investigation.
Ce qu’il faut retenir
- La campagne exploite la CVE-2026-84869, une faille critique de score CVSS 9,9, déjà corrigée.
- Blackpoint Cyber (APG) a récupéré la boîte à outils SCKit utilisée par les attaquants.
- Les sessions de support de ConnectWise ScreenConnect peuvent devenir un vecteur d’attaque, notamment contre les MSP.
- Mettre à jour sans délai et auditer les accès restent les meilleures défenses.
Source : SCKit Malware Turns ScreenConnect Support Sessions Into Potential MSP Attack Paths