SCKit Worm : clients ScreenConnect pirates et relais de cookies de session sur 288 endpoints

🔍 Contexte

Le 11 novembre 2026, Huntress a publié une analyse technique détaillée d’une campagne d’attaque ciblant des environnements ScreenConnect (éditeur ConnectWise). L’activité a été observée à partir de 17h47 UTC et a impacté 288 endpoints répartis dans 48 organisations en l’espace de 90 minutes.

🎯 Vecteur d’accès initial

L’accès initial a été rendu possible par une faille d’authentification critique dans l’extension tierce RMM+ (versions 1.0.31 et 1.0.32). Cette extension, conçue pour permettre à des outils tiers de gérer des sessions ScreenConnect sans intervention humaine, utilisait une clé d’accès partagée vide par défaut. Si un administrateur n’avait jamais configuré cette clé, l’extension acceptait une valeur vide, contournant ainsi les comptes utilisateurs, les rôles et le MFA de ScreenConnect.

🛠️ Toolkit SCKit – Fonctionnement

SCKit est un toolkit malveillant composé de 16 fichiers (scripts PowerShell, batch, .cmd et données de configuration) :

• Livraison chiffrée : le payload est chiffré et déchiffré à l’aide de l’UUID Windows de la machine cible, transmis dans la query string de la requête GET vers l’infrastructure attaquante.
• Installation d’un client ScreenConnect pirate : téléchargé silencieusement depuis l’infrastructure de l’attaquant.
• RelayTrap : un exécutable .NET compilé spécifiquement sur chaque hôte, qui usurpe la connexion du client ScreenConnect légitime sur le relais officiel.
• TrapWatch.ps1 : s’exécute en tant que SYSTEM toutes les 10 secondes pour stopper le client légitime et maintenir le contrôle.
• Vol de cookies de session .aspxauth pour rejouer l’authentification contre le panel ScreenConnect.
• ToolboxRelayUploader.exe : upload un payload dans la Shared Toolbox du panel pour propager l’infection à toutes les sessions accessibles par le technicien.

📡 Infrastructure attaquante

• Serveur ScreenConnect attaquant : 185.99.255.28 (hostname: screen)
• Relais attaquant : newnewnew.gotdns.org
• Panel attaquant : sc.payproofkit.com (155.94.150.39)
• Relais secondaire : soxnewwork.homedns.org
• Domaine C2 : cdn007-digitaldownloads.com
• Stager : https://ns.mo7sen.dev/EadF.php
• Nom du participant attaquant : Addmin

🔗 Propagation latérale (non observée avec succès)

Le kit intègre une fonctionnalité de propagation vers le poste du technicien : 2,5 secondes après la connexion d’un technicien à un hôte compromis, un transfert de fichier est déclenché pour installer le dropper sur le poste du technicien, voler son cookie de session et propager l’infection à tous les endpoints accessibles depuis son panel. Cette fonctionnalité n’a pas été observée avec succès dans les incidents analysés.

📋 Réponse de ConnectWise

ConnectWise a désactivé cinq extensions tierces (dont RMM+, Labtech Plus, RMM Plus Password Link) sur plus de 400 environnements partenaires et a publié un avis de sécurité. Une activité similaire avait déjà été observée en septembre 2026, liée à la CVE-2026-84869 (CVSS 9.9, vulnérabilité de transfert de fichiers).

📄 Type d’article

Analyse technique approfondie publiée par Huntress, visant à documenter la campagne, fournir des IoCs exploitables et guider les défenseurs dans la réponse à incident.

🧠 TTPs et IOCs détectés

TTP

• T1072 — Software Deployment Tools (Execution)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1543.003 — Create or Modify System Process: Windows Service (Persistence)
• T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys (Persistence)
• T1539 — Steal Web Session Cookie (Credential Access)
• T1550.004 — Use Alternate Authentication Material: Web Session Cookie (Lateral Movement)
• T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
• T1036 — Masquerading (Defense Evasion)
• T1570 — Lateral Tool Transfer (Lateral Movement)
• T1078 — Valid Accounts (Defense Evasion)
• T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
• T1027 — Obfuscated Files or Information (Defense Evasion)

IOC

• IPv4 : 185.99.255.28 — AbuseIPDB · VT · ThreatFox
• IPv4 : 155.94.150.39 — AbuseIPDB · VT · ThreatFox
• Domaines : newnewnew.gotdns.org — VT · URLhaus · ThreatFox
• Domaines : sc.payproofkit.com — VT · URLhaus · ThreatFox
• Domaines : soxnewwork.homedns.org — VT · URLhaus · ThreatFox
• Domaines : cdn007-digitaldownloads.com — VT · URLhaus · ThreatFox
• Domaines : ns.mo7sen.dev — VT · URLhaus · ThreatFox
• URLs : https://ns.mo7sen.dev/EadF.php?p=4 — URLhaus
• URLs : https://ns.mo7sen.dev/EadF.php?p=5 — URLhaus
• SHA256 : 94b93c649b0ae0281352da9d01761fa9195ab1e6ac7010af3b9ba1646355eb11 — VT · MalwareBazaar
• SHA256 : 7a9aca9fdd4dcc13fe497cabdb13ca1e5d6a529271c8aa495e5ca1c1c80271ec — VT · MalwareBazaar
• SHA256 : b93f10f30ee453d1e1c046fec9d141c41d7680be5cd46c3aeb3febe0f4953b4d — VT · MalwareBazaar
• SHA256 : 3c7a98f0fdb6235b8076319c74dc1085f7b349b6d750416dd0cadb07d7972ec4 — VT · MalwareBazaar
• SHA256 : d2ed7a7bf4f8ac9c7969e9b3a07ebd4dda0d858f372c876ac0a041611698de9a — VT · MalwareBazaar
• SHA256 : 4a1dd3cd2ea14368afadf7e9dfdd63b104e3981ef8c85bbb6510919b810af04b — VT · MalwareBazaar
• SHA256 : 8cb5f48bbe70b5248db7f327f3d1ad6649df5c767d2a7e0711ee147fd92e06af — VT · MalwareBazaar
• SHA256 : cf50d73fa8117a758093b1344de41cd6a6ccdc645cdda1fa91a9264efe93956 — VT · MalwareBazaar
• SHA256 : 81cc2baa35b798d6084bd078662fa29ff28df02c46c6ccdb2b43bde97d19f781 — VT · MalwareBazaar
• SHA256 : c31e6f075cd77e01839aebce32ed35659a9ee962d102aca53040bb5e297410a9 — VT · MalwareBazaar
• SHA256 : deda7c30d798a19b6699a45fbcba503cf778594df9163c61c2f96bb2d2b9fb45 — VT · MalwareBazaar
• SHA256 : 0bd84c776dc01f784a617e73fc77b269f847fc4a062ffd489e4692869724bf08 — VT · MalwareBazaar
• SHA256 : 454c43d296b1276bde9a4f6ff1da2221cb35ccdb2fc7991bdd572e45bce12a8a — VT · MalwareBazaar
• SHA256 : 5dd3a6ba806ac472663e243cfc1c034c534d5d9a42ec362c3dbf0f8d950148d0 — VT · MalwareBazaar
• SHA256 : 43b7a5e56f9e6c7b74e1ce2b7b5af63f383084625fcc2d3a5985fa1059e2db95 — VT · MalwareBazaar
• SHA256 : 50659748723e906c8b3d3c0386bd4cf692f693a3e23639398c1a14d0c31fed61 — VT · MalwareBazaar
• CVEs : CVE-2026-84869 — NVD · CIRCL
• Fichiers : sckit-run.bat
• Fichiers : sckit-decoder.ps1
• Fichiers : Panel-Lateral.ps1
• Fichiers : Panel-Lateral-free.ps1
• Fichiers : sckit-loader.ps1
• Fichiers : install.ps1
• Fichiers : TrapWatch.ps1
• Fichiers : RelayTrap.cs
• Fichiers : RelayTrap.exe
• Fichiers : ToolboxRelayUploader.exe
• Fichiers : LabConfig.ps1
• Fichiers : Lite-Alert.ps1
• Fichiers : Stage0Loader.ps1
• Fichiers : Release-Machine.cmd
• Fichiers : Recover-ExecutionPolicy.cmd
• Fichiers : lab-context.json
• Fichiers : TRAP-PROOF.bat
• Fichiers : Stop-LabTrap.bat
• Fichiers : Run-Lateral-Full.bat
• Fichiers : runnew.cmd
• Fichiers : WithUninstall.ps1
• Fichiers : Installer.ps1
• Chemins : C:\Windows\TEMP\sc.msi
• Chemins : C:\Windows\Temp\sckit-run.bat
• Chemins : C:\ProgramData\RelayTrap
• Chemins : C:\ProgramData\RelayTrap\install.ps1
• Chemins : C:\ProgramData\RelayTrap\trapbins\<client id>\RelayTrap.exe
• Chemins : %PUBLIC%\RELAY-TRAP-PROOF.txt
• Chemins : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 13 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• SCKit (framework)
• RelayTrap (tool)
• TrapWatch (tool)
• ToolboxRelayUploader (tool)
• Panel-Lateral.ps1 (tool)
• LabConfig.ps1 (tool)
• Stage0Loader.ps1 (loader)

🟢 Indice de vérification factuelle : 95/100 (haute)

• ✅ huntress.com — source reconnue (liste interne) (20pts)
• ✅ 22212 chars — texte complet (fulltext extrait) (15pts)
• ✅ 55 IOCs dont des hashes (15pts)
• ✅ 8/10 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 15 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

• 185.99.255.28 (ip) → VT (7/92 détections)
• 155.94.150.39 (ip) → VT (5/92 détections)
• 94b93c649b0ae028… (sha256) → VT (7/76 détections)
• 7a9aca9fdd4dcc13… (sha256) → VT (4/76 détections)
• b93f10f30ee453d1… (sha256) → VT (4/76 détections)

🔗 Source originale : https://www.huntress.com/blog/sckit-worm-rogue-screenconnect