🗓️ Contexte

Publié le 11 novembre 2026 par BleepingComputer, cet article rapporte une campagne malveillante active découverte par la société de cybersécurité Huntress, ciblant des managed service providers (MSPs) via la plateforme de gestion à distance ScreenConnect de ConnectWise.

🎯 Nature de l’attaque

Les attaquants exploitent la fonctionnalité légitime Run Command de ScreenConnect pour déployer des clients ScreenConnect non autorisés sur les endpoints gérés, établissant ainsi un accès distant hors du périmètre légitime des MSPs. Selon Huntress, il s’agit d’un abus de fonctionnalité légitime (et non d’une vulnérabilité logicielle), assisté par des outils personnalisés compilés à la volée sur les machines victimes.

Une technique additionnelle particulièrement dangereuse est signalée : la compromission du poste de travail d’un technicien MSP lorsqu’il initie une session ScreenConnect avec un endpoint infecté.

📊 Impact

  • 6 MSPs compromis identifiés
  • 286+ endpoints affectés dans 47 organisations
  • Environ 400 environnements partenaires concernés par la désactivation préventive d’extensions

🔌 Extensions tierces suspectes désactivées par ConnectWise

ConnectWise a désactivé 5 extensions tierces suspectées d’être liées aux attaques :

  • Labtech Plus
  • RMM Plus
  • RMM+
  • RMM Plus Password Link
  • RMM+ Password Link

Ces extensions ont été désactivées dans les environnements cloud ; les clients on-premises doivent les désactiver manuellement.

🔗 Activité antérieure liée

BleepingComputer a identifié un script batch malveillant nommé SSA-2026-STATEMENT-15518787.bat, uploadé sur VirusTotal le 25 juillet 2026, qui référence l’un des identifiants ScreenConnect malveillants listés par Huntress. Ce script se fait passer pour un relevé de la Social Security Administration, ajoute des exclusions Microsoft Defender, établit de la persistance via le dossier Startup et la clé de registre Run, puis contacte amexsafekeyupdate.com pour récupérer des installeurs ScreenConnect. En cas de succès, il envoie une notification via Telegram.

🔍 Vecteur d’accès initial

Le vecteur d’accès initial reste indéterminé. Huntress évoque des identifiants compromis ou des sessions opérateur détournées. Des identifiants séquentiels attribués par les attaquants suggèrent que d’autres MSPs auraient pu être compromis antérieurement.

📄 Type d’article

Rapport d’incident en cours, combinant des éléments d’analyse technique et de threat intelligence, visant à informer la communauté MSP et à diffuser des IOCs exploitables.

🧠 TTPs et IOCs détectés

TTP

  • T1219 — Remote Access Software (Command and Control)
  • T1078 — Valid Accounts (Initial Access)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
  • T1566 — Phishing (Initial Access)
  • T1105 — Ingress Tool Transfer (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 12 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ScreenConnect (rogue client) (rat)
  • SSA-2026-STATEMENT-15518787.bat (loader)

🟢 Indice de vérification factuelle : 75/100 (haute)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 9236 chars — texte complet (15pts)
  • ✅ 16 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 3/6 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • newnewnew.gotdns.org (domain) → VT (6/92 détections)
  • soxnewwork.homedns.org (domain) → VT (6/92 détections)
  • cdn007-digitaldownloads.com (domain) → VT (4/92 détections)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/active-screenconnect-attacks-breach-msps-impact-dozens-of-organizations/