Huntress : des attaquants se servent de montages ScreenConnect compromis pour atteindre les clients des MSP

L’entreprise de cybersécurité Huntress a dit le 11 novembre 2026 qu’elle suivait une campagne active contre des fournisseurs de services gérés (MSP) qui utilisent le logiciel d’accès à distance ScreenConnect de ConnectWise. Des attaquants qui ont accès à l’environnement ScreenConnect d’un MSP compromis y installent leurs propres clients d’accès à distance sur les appareils des clients. BleepingComputer (en anglais) a rapporté la campagne le jour même, avec une déclaration de ConnectWise. Voici ce que l’on sait jusqu’ici, et ce que les MSP et leurs clients devraient faire.

Ce que Huntress a observé

Huntress a dit sur Reddit que son centre des opérations de sécurité travaillait sur une campagne active commencée vers 17 h 47 UTC le 11 novembre, visant des instances ScreenConnect hébergées dans le nuage. Au moment de sa publication, elle suivait six MSP compromis et plus de 286 points d’extrémité dans 47 organisations, « et ces chiffres grimpent ». Elle a dit que ConnectWise était engagée et travaillait avec elle.

Selon Huntress, les attaquants utilisent la fonction Run Command de ScreenConnect pour déployer des clients ScreenConnect sur les appareils gérés. Ces clients donnent aux attaquants un accès à distance en dehors de l’environnement ScreenConnect légitime du MSP.

Huntress n’a pas encore dit comment les attaquants entrent d’abord dans les environnements des MSP touchés. Sa télémétrie actuelle, a-t-elle dit à BleepingComputer, pointe vers des identifiants compromis et des séances de soutien MSP détournées. Des identifiants séquentiels utilisés par les attaquants laissent aussi penser que d’autres MSP ont pu être compromis plus tôt, si bien que même les fournisseurs qui n’ont pas reçu d’alerte sont invités à vérifier l’historique de Run Command.

Les chercheurs ont aussi prévenu d’une possibilité plus dangereuse : un attaquant pourrait compromettre le poste d’un technicien du MSP si celui-ci amorce une séance ScreenConnect avec un appareil client déjà infecté. On ne sait pas encore si cette technique de pivot inverse rapportée exploite une faille logicielle ou abuse d’une fonction légitime.

Huntress a publié des indicateurs de compromission, y compris des identifiants de clients ScreenConnect illégitimes et de l’infrastructure, pour aider les organisations à repérer l’activité.

Ce que ConnectWise a dit

Dans une déclaration à BleepingComputer, ConnectWise a confirmé qu’elle enquêtait.

« Nous sommes au courant de signalements d’activité malveillante touchant un nombre limité de partenaires ScreenConnect et nous enquêtons activement », a dit l’entreprise. « Par précaution, les partenaires devraient éviter d’ouvrir des séances ScreenConnect interactives vers des appareils soupçonnés d’être compromis et utiliser d’autres outils de sécurité pour enquêter. Les partenaires devraient aussi examiner l’activité des comptes, révoquer les séances actives, réinitialiser les identifiants depuis un appareil de confiance, et vérifier l’authentification multifactorielle. »

ConnectWise a dit qu’elle communiquerait d’autres renseignements et consignes par le ConnectWise Trust Center.

Il s’agit d’un incident différent de celui d’octobre, où des clés d’application ConnectWise volées avaient servi à ouvrir des sessions Microsoft 365 de clients.

Ce que vous pouvez faire

Si vous travaillez dans un MSP, ou si vous utilisez ScreenConnect vous-même :

1. Suivez les précautions de ConnectWise. N’ouvrez pas une séance ScreenConnect interactive vers un appareil que vous soupçonnez déjà d’être compromis. Enquêtez avec d’autres outils de sécurité.
2. Examinez l’activité des comptes, révoquez les séances et réinitialisez les identifiants depuis un appareil de confiance. Confirmez que l’authentification multifactorielle est activée.
3. Vérifiez l’historique de Run Command pour des installations inattendues de clients ScreenConnect, même si vous n’avez pas reçu d’alerte.
4. Surveillez le ConnectWise Trust Center pour les mises à jour officielles.

Si vous êtes client d’un MSP et que vous n’utilisez pas ScreenConnect vous-même :

5. Vous n’avez pas à changer vos identifiants seulement à cause de ce titre. Si votre fournisseur vous contacte, utilisez un numéro ou une adresse que vous avez déjà, pas un lien dans un message inattendu.
6. Si votre ordinateur affiche des invites de soutien à distance inattendues, contactez votre fournisseur par un canal connu et n’approuvez pas une séance que vous n’avez pas demandée.

Comment Frame peut aider

Cette campagne vise les montages d’accès à distance des MSP, pas une liste publiée d’adresses courriel personnelles, donc il n’y a pas d’enregistrement de fuite à ajouter dans Frame. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame ne gère pas les logiciels de soutien à distance.

À lire aussi

• Des clés d’application ConnectWise volées ont ouvert des sessions Microsoft 365 : un incident ConnectWise antérieur, qui utilisait des autorisations d’application volées plutôt que de faux clients d’accès à distance.
• Un chercheur publie 33 failles de N-central avec exploits fonctionnels, et N-able met le service hors ligne : un autre cas récent concernant un logiciel de gestion à distance utilisé par des fournisseurs de services.

Sources

• BleepingComputer, Active ScreenConnect attacks breach MSPs, impact dozens of organizations (en anglais), 11 novembre 2026