En bref. Depuis le 11 novembre 2026, ConnectWise signale une campagne d'accès non autorisés à des instances ScreenConnect hébergées dans le cloud et appartenant à des prestataires de services infogérés (MSP, Managed Service Providers). Dans une analyse publiée le 13 novembre, Microsoft confirme cette activité et décrit SCKit, un ver qui se sert de l'outil de télémaintenance du prestataire pour s'installer sur les postes de ses clients, puis tenter d'atteindre les techniciens qui s'y connectent. Pour une entité soumise à NIS 2, l'incident illustre une exigence concrète du référentiel de l'ANSSI : connaître ses prestataires, encadrer leurs accès et vérifier que la prestation respecte vos propres obligations.
Ce qui s'est passé
Selon Microsoft Threat Intelligence, l'attaquant utilise ScreenConnect, une application légitime d'assistance à distance éditée par ConnectWise, pour :
- installer en silence sur les postes clients un second client ScreenConnect relié à une infrastructure qu'il contrôle ;
- déployer SCKit, un ver qui s'installe durablement et qui est conçu pour se propager vers les postes des techniciens du prestataire (Microsoft décrit cette propagation comme une conception, pas comme une chaîne d'infections confirmée).
La porte d'entrée exacte de la campagne est encore à l'étude. ConnectWise examine une piste : une faille d'authentification signalée dans les extensions RMM+ en versions 1.0.31 et 1.0.32. Quand aucune clé d'accès n'avait été configurée, l'extension acceptait une clé vide, ce qui permettait d'envoyer des commandes aux postes gérés sans connexion normale à la console. RMM désigne les outils de supervision et de gestion à distance (Remote Monitoring and Management).
Comment fonctionne SCKit
Le principe, d'après l'analyse de Microsoft, sans détail d'exploitation.
Trois rôles, deux surfaces d'attaque. ScreenConnect repose sur un serveur de gestion (la console web), le poste du technicien et le client installé sur chaque poste géré. Microsoft distingue l'accès côté serveur signalé via les extensions, de l'attaque côté client, qui vise le technicien. Sécuriser l'une ne traite pas l'autre.
Un second canal d'accès. Les commandes passées par l'instance du prestataire font télécharger et installer sur le poste client un autre client ScreenConnect, connecté à un serveur de l'attaquant. Microsoft le souligne : sécuriser la console légitime ne retire pas ce client supplémentaire.
Une installation discrète et durable. Le code est déchiffré avec une clé dérivée notamment de l'identifiant de la machine, ce qui, à notre lecture, complique l'analyse du code hors du poste visé. La persistance passe par des tâches planifiées et une entrée de démarrage automatique dans le registre. Des exclusions sont ajoutées à l'antivirus Microsoft Defender.
Un piège pour le technicien. Le composant RelayTrap remplace le client ScreenConnect du poste client. Quand un technicien s'y connecte avec un client vulnérable, RelayTrap tente de lui transmettre le lanceur du ver. ConnectWise indique que le correctif de CVE-2026-84869, publié le 8 septembre 2026, bloque cette transmission : selon l'éditeur, les clients techniciens en version 26.6.5 et suivantes bloquent cette technique.
Le vol de session. SCKit cherche dans les navigateurs Chrome, Edge, Opera et Opera GX les cookies d'authentification de la console (.ASPXAUTH), dans les fichiers de cookies et dans la mémoire des processus du navigateur. Avec une session de technicien, il peut distribuer une charge à d'autres postes gérés via la console. Les droits du compte déterminent jusqu'où il peut aller.
Un nettoyage qui réinstalle. Après le script de nettoyage, le mode nettoyage du kit relance le déploiement sauf option contraire. Microsoft recommande de ne pas utiliser ce script pour remédier.
Qui est concerné
- Les MSP qui utilisent ScreenConnect, en particulier avec les extensions Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link ou RMM+ Password Link.
- Leurs clients, dont les postes peuvent avoir reçu un client non autorisé.
- Toute entité soumise à NIS 2 qui confie de l'infogérance ou de la télémaintenance, quel que soit l'outil : à notre analyse, le scénario, un prestataire dont l'outil d'administration devient le vecteur, ne dépend pas de ScreenConnect.
Réagir si vous utilisez ScreenConnect
Les mesures suivantes sont celles de Microsoft.
- Garder désactivées les extensions identifiées et suivre l'avis de l'éditeur ; revoir leur historique d'installation et de configuration.
- Mettre à jour les clients techniciens séparément de la console. Une mise à jour de la console cloud ne met pas à jour automatiquement ces clients ; vérifiez la version installée sur chaque poste de technicien.
- Enquêter par un autre canal. N'utilisez pas ScreenConnect sur un poste suspect ; passez par un outil de réponse à distance indépendant. Isolez les postes touchés et incluez dans le périmètre les postes des techniciens qui s'y sont connectés.
- Conserver les preuves : journaux d'extensions, d'authentification, de commandes et de la boîte à outils partagée (Toolbox), avec l'historique des processus, fichiers, tâches et registre.
- Révoquer les sessions depuis un poste sain : sessions web ScreenConnect et sessions du fournisseur d'identité, rotation des identifiants exposés. Un changement de mot de passe seul ne coupe pas toutes les sessions existantes.
- Retirer la persistance et les clients non approuvés, après avoir vérifié l'instance et le relais de chaque client. Reconstruire le poste quand son intégrité ne peut pas être établie.
- Tenir un inventaire des instances d'administration à distance autorisées et restreindre les logiciels non approuvés par du contrôle d'applications.
Microsoft publie aussi des requêtes de recherche et des indicateurs (domaines, adresses IP, empreintes) ; reprenez-les depuis l'article source.
Ce que NIS 2 demande sur vos prestataires
La directive (UE) 2022/2555, dite NIS 2, devait être transposée au plus tard le 17 octobre 2024, selon la Commission européenne. En France, le projet de loi « résilience » qui la transpose a fini d'être examiné à l'Assemblée nationale les 9 et 10 novembre 2026, avec un vote solennel prévu le 17 novembre, selon le Journal du Net. Suivront la commission mixte paritaire, les décrets en Conseil d'État et la version définitive du référentiel de l'ANSSI.
L'ANSSI publie déjà sur MonEspaceNIS2 une version de son référentiel de mesures, qui renvoie à la future loi de transposition (il cite « l'article 17 de la loi XXX »). Plusieurs mesures s'appliquent directement au scénario SCKit. Les codes indiquent si la mesure vise les entités importantes et essentielles (EI/EE) ou seulement les essentielles (EE).
Connaître ses prestataires
- 3.A.1-EI/EE : tenir à jour une cartographie de l'écosystème avec, au minimum, la liste des prestataires et fournisseurs informatiques qui contribuent à vos activités (le référentiel cite le prestataire d'infogérance) et la liste des interconnexions avec vos systèmes.
- 3.A.2-EI/EE : un point de contact à jour pour chaque entrée.
Encadrer la prestation par contrat, puis vérifier
- 3.B.1-EI/EE : s'assurer que la prestation est conforme à vos obligations, notamment en gestion des risques et en notification des incidents importants, avec des assurances contractuelles. Le référentiel cite en exemple le plan d'assurance sécurité et la charte de télémaintenance.
- 3.B.2-EI/EE : vérifier périodiquement cette conformité, éventuellement par audit.
Protéger les accès distants
- 8.1-EI/EE : protéger par chiffrement les accès à vos systèmes passant par un système tiers.
- 8.2-EI/EE : authentifier les accès des personnels et prestataires autorisés.
- 8.3-EE : pour les entités essentielles, authentification multifacteur avec au moins un facteur de connaissance.
Maîtriser l'administration
- 11.A.1-EI/EE : actions d'administration uniquement depuis des comptes d'administration, utilisés uniquement pour l'administration.
- 11.A.7-EE : à chaque modification d'un compte d'administration, vérifier que les droits correspondent au besoin.
- 19.4-EE : un poste physique d'administration utilisé exclusivement pour l'administration.
Le lien avec SCKit est direct : le vol de cookies vise le navigateur du technicien. Un poste d'administration dédié, sans navigation générale, réduit cette exposition. C'est notre analyse, pas une conclusion de Microsoft.
Traiter l'incident
- 12.6-EI/EE : conserver les relevés techniques utilisables comme preuves.
- 12.5-EE : analyser les causes après chaque incident et en garder la preuve.
Sur la notification, le Journal du Net rapporte que les entités devront notifier leurs incidents importants à l'ANSSI en trois temps : une alerte sous 24 heures, une notification sous 72 heures et un rapport final dans le mois. Le texte définitif dépendra de la suite de la procédure parlementaire.
Méthode : vérifier vos accès prestataires en une semaine
Ces étapes sont des bonnes pratiques.
- Inventaire. Listez tous les outils de télémaintenance et de supervision présents sur votre parc, y compris ceux installés par vos prestataires. Une recherche des services ScreenConnect, et de leurs serveurs de destination, sur l'ensemble des postes est un bon point de départ.
- Rapprochement. Comparez chaque instance trouvée avec la liste des prestataires de votre cartographie (mesure 3.A.1). Toute instance ou destination inconnue est un incident potentiel.
- Contrat. Pour chaque prestataire disposant d'un accès d'administration, vérifiez l'existence d'une clause de sécurité, d'une charte de télémaintenance et d'une obligation de vous prévenir d'un incident chez lui.
- Question écrite. Demandez à vos MSP s'ils utilisent ScreenConnect, quelles extensions, et la version de leurs clients techniciens. La réponse et son délai vous renseignent sur leur maturité.
- Preuve. Conservez l'inventaire, les réponses et les écarts traités : c'est ce que vous montrerez lors d'un contrôle.
FAQ
Qu'est-ce que SCKit ?
Un ver décrit par Microsoft le 13 novembre 2026, qui se sert d'instances ScreenConnect de prestataires infogérés pour installer un accès à distance sur les postes de leurs clients, puis tenter d'atteindre les postes des techniciens et de voler leurs sessions de console.
Comment se protéger de SCKit en tant que MSP ?
Garder désactivées les extensions RMM+ et apparentées, mettre à jour chaque client technicien (version 26.6.5 ou suivante selon ConnectWise), enquêter par un canal indépendant, révoquer les sessions et retirer la persistance avec des outils de réponse approuvés.
NIS 2 impose-t-il de contrôler ses prestataires ?
Le référentiel de l'ANSSI demande de cartographier les prestataires (3.A.1), d'encadrer la prestation par contrat (3.B.1) et d'en vérifier périodiquement la conformité (3.B.2).
La loi française de transposition de NIS 2 est-elle adoptée ?
Pas définitivement à cette date : l'Assemblée a fini l'examen du texte le 10 novembre 2026, le vote solennel est prévu le 17 novembre, puis viendront la commission mixte paritaire et les décrets, selon le Journal du Net.
Sources
- Microsoft Threat Intelligence, SCKit abuses ScreenConnect to deploy remote access and target technician sessions, 13 novembre 2026 : https://www.microsoft.com/en-us/security/blog/2026/11/13/sckit-abuses-screenconnect-deploy-remote-access-target-technician-sessions
- ANSSI, référentiel de mesures NIS 2 sur MonEspaceNIS2 : https://monespacenis2.cyber.gouv.fr/
- Commission européenne, Directive SRI 2 : https://digital-strategy.ec.europa.eu/fr/policies/nis2-directive
- Journal du Net, NIS2 : l'Assemblée adopte enfin la transposition, et la réécrit contre l'avis du gouvernement, 13 novembre 2026 : https://www.journaldunet.com/cybersecurite/1557881-nis2-l-assemblee-adopte-enfin-la-transposition-et-la-reecrit-contre-l-avis-du-gouvernement
Pour cartographier vos prestataires et mettre vos accès d'administration au niveau du référentiel de l'ANSSI, WeeSec accompagne les entités concernées sur NIS 2.