Campagne SCKit cible les panneaux partenaires ConnectWise ScreenConnect pour compromettre les MSP

🔍 Contexte

Cet advisory a été publié le 12 novembre 2026 par Beazley Security (BSL-A1245), en collaboration avec les données de ConnectWise et Huntress. Il documente une campagne active détectée à partir de 17h47 UTC le 11 novembre 2026 ciblant les environnements partenaires ConnectWise ScreenConnect.

🎯 Nature de l’attaque

Un acteur inconnu a obtenu un accès non autorisé à plusieurs panneaux partenaires ScreenConnect (hébergés dans le cloud) pour déployer :

• Des clients ScreenConnect malveillants (rogue clients)
• SCKit, un toolkit personnalisé de 16 fichiers (scripts PowerShell, batch, JSON) conçu pour la persistance, l’évasion et la propagation latérale

Le vecteur d’accès initial reste non identifié à l’heure de publication. ConnectWise suspecte un abus de cinq extensions tierces (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, RMM+ Password Link), qu’il a désactivées par précaution.

⚙️ Chaîne d’attaque

1. Exécution via panneau : utilisation de la fonctionnalité Run Command de ScreenConnect pour exécuter des commandes en tant que SYSTEM sur plusieurs endpoints simultanément
2. Installation du client malveillant : installation silencieuse d’un MSI attaquant depuis C:\Windows\Temp\sc.msi, écriture d’un dropper base64 dans sckit-run.bat
3. Récupération de payload chiffré par hôte : chaque machine reçoit un payload unique chiffré avec une clé, IV et sel spécifiques à son UUID Windows
4. Persistance et évasion : ajout d’exclusions Microsoft Defender, installation d’un second client ScreenConnect malveillant, règles SRP/AppLocker bloquant les fichiers dans les dossiers temp ScreenConnect, clé Run RelayTrapLiteAlert
5. Relay takeover : la tâche planifiée TrapWatch (exécutée toutes les 10 secondes en SYSTEM) compile RelayTrap.exe spécifique à l’hôte, arrête le client ScreenConnect légitime et occupe son slot de connexion

🐛 Propagation latérale (worm SCKit)

1. Lorsqu’un technicien se connecte à un hôte infecté, Run-Lateral-Full.bat est transféré et exécuté sur le poste du technicien
2. Panel-Lateral.ps1 utilise SQLite pour lire les cookies de navigateur et voler le cookie de session ScreenConnect .aspxauth
3. Le cookie volé est rejoué contre le panneau pour énumérer toutes les sessions accessibles
4. ToolboxRelayUploader.exe s’authentifie en tant que technicien, uploade un payload dans la Shared Toolbox et diffuse une commande d’exécution à toutes les sessions accessibles

📊 Impact

Environ un tiers des hôtes affectés ont été compromis dans les dix premières minutes sur plusieurs organisations. La compromission d’un seul panneau partenaire permet d’atteindre l’ensemble des clients de ce partenaire MSP.

📄 Type d’article

Il s’agit d’un advisory technique de threat intelligence publié par Beazley Security, visant à fournir des indicateurs de compromission, une description technique de la chaîne d’attaque et des pistes de threat hunting aux défenseurs.

🧠 TTPs et IOCs détectés

TTP

• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
• T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
• T1036 — Masquerading (Defense Evasion)
• T1539 — Steal Web Session Cookie (Credential Access)
• T1021.001 — Remote Services: Remote Desktop Protocol (Lateral Movement)
• T1570 — Lateral Tool Transfer (Lateral Movement)
• T1078 — Valid Accounts (Defense Evasion)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
• T1027 — Obfuscated Files or Information (Defense Evasion)

IOC

• IPv4 : 185.99.255.28 — AbuseIPDB · VT · ThreatFox
• IPv4 : 155.94.150.39 — AbuseIPDB · VT · ThreatFox
• Domaines : sc.payproofkit.com — VT · URLhaus · ThreatFox
• Domaines : newnewnew.gotdns.org — VT · URLhaus · ThreatFox
• Domaines : soxnewwork.homedns.org — VT · URLhaus · ThreatFox
• Domaines : cdn007-digitaldownloads.com — VT · URLhaus · ThreatFox
• Domaines : ns.mo7sen.dev — VT · URLhaus · ThreatFox
• URLs : https://ns.mo7sen.dev/EadF.php?p=4 — URLhaus
• URLs : https://ns.mo7sen.dev/EadF.php?p=5 — URLhaus
• SHA256 : 3c7a98f0fdb6235b8076319c74dc1085f7b349b6d750416dd0cadb07d7972ec4 — VT · MalwareBazaar
• SHA256 : d2ed7a7bf4f8ac9c7969e9b3a07ebd4dda0d858f372c876ac0a041611698de9a — VT · MalwareBazaar
• SHA256 : 4a1dd3cd2ea14368afadf7e9dfdd63b104e3981ef8c85bbb6510919b810af04b — VT · MalwareBazaar
• SHA256 : 8cb5f48bbe70b5248db7f327f3d1ad6649df5c767d2a7e0711ee147fd92e06af — VT · MalwareBazaar
• SHA256 : 7a9aca9fdd4dcc13fe497cabdb13ca1e5d6a529271c8aa495e5ca1c1c80271ec — VT · MalwareBazaar
• SHA256 : 94b93c649b0ae0281352da9d01761fa9195ab1e6ac7010af3b9ba1646355eb11 — VT · MalwareBazaar
• SHA256 : b93f10f30ee453d1e1c046fec9d141c41d7680be5cd46c3aeb3febe0f4953b4d — VT · MalwareBazaar
• SHA256 : cf50d73fa8117a758093b1344de41cd6a6ccddc645cdda1fa91a9264efe93956 — VT · MalwareBazaar
• SHA256 : 81cc2baa35b798d6084bd078662fa29ff28df02c46c6ccdb2b43bde97d19f781 — VT · MalwareBazaar
• SHA256 : c31e6f075cd77e01839aebce32ed35659a9ee962d102aca53040bb5e297410a9 — VT · MalwareBazaar
• SHA256 : deda7c30d798a19b6699a45fbcba503cf778594df9163c61c2f96bb2d2b9fb45 — VT · MalwareBazaar
• SHA256 : 0bd84c776dc01f784a617e73fc77b269f847fc4a062ffd489e4692869724bf08 — VT · MalwareBazaar
• SHA256 : 454c43d296b1276bde9a4f6ff1da2221cb35ccdb2fc7991bdd572e45bce12a8a — VT · MalwareBazaar
• SHA256 : 5dd3a6ba806ac472663e243cfc1c034c534d5d9a42ec362c3dbf0f8d950148d0 — VT · MalwareBazaar
• SHA256 : 43b7a5e56f9e6c7b74e1ce2b7b5af63f383084625fcc2d3a5985fa1059e2db95 — VT · MalwareBazaar
• SHA256 : 50659748723e906c8b3d3c0386bd4cf692f693a3e23639398c1a14d0c31fed61 — VT · MalwareBazaar
• Fichiers : sc.msi
• Fichiers : sckit-run.bat
• Fichiers : sckit-decoder.ps1
• Fichiers : RelayTrap.exe
• Fichiers : TrapWatch.ps1
• Fichiers : install.ps1
• Fichiers : ToolboxRelayUploader.exe
• Fichiers : Panel-Lateral.ps1
• Fichiers : Panel-Lateral-free.ps1
• Fichiers : LabConfig.ps1
• Fichiers : Lite-Alert.ps1
• Fichiers : Stage0Loader.ps1
• Fichiers : Release-Machine.cmd
• Fichiers : Recover-ExecutionPolicy.cmd
• Fichiers : Lab-context.json
• Fichiers : TRAP-PROOF.bat
• Fichiers : Stop-LabTrap.bat
• Fichiers : Run-Lateral-Full.bat
• Fichiers : runnew.cmd
• Fichiers : WithUninstall.ps1
• Fichiers : Sqlite3.exe
• Fichiers : RelayTrap.cs
• Chemins : C:\Windows\TEMP\sc.msi
• Chemins : C:\Windows\Temp\sckit-run.bat
• Chemins : C:\ProgramData\RelayTrap
• Chemins : C:\Windows\Temp\sckit-*

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 13 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• SCKit (framework)
• RelayTrap (tool)
• ToolboxRelayUploader (tool)
• TrapWatch (tool)

🟢 Indice de vérification factuelle : 90/100 (haute)

• ✅ labs.beazley.security — source reconnue (Rösti community) (20pts)
• ✅ 12996 chars — texte complet (fulltext extrait) (15pts)
• ✅ 51 IOCs dont des hashes (15pts)
• ✅ 7/10 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 14 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• 185.99.255.28 (ip) → VT (7/92 détections)
• 155.94.150.39 (ip) → VT (5/92 détections)
• d2ed7a7bf4f8ac9c… (sha256) → VT (8/76 détections)
• 4a1dd3cd2ea14368… (sha256) → VT (10/76 détections)
• sc.payproofkit.com (domain) → VT (12/92 détections)

🔗 Source originale : https://labs.beazley.security/advisories/BSL-A1245