RelayTrap

🔍 Contexte Cet advisory a été publié le 12 novembre 2026 par Beazley Security (BSL-A1245), en collaboration avec les données de ConnectWise et Huntress. Il documente une campagne active détectée à partir de 17h47 UTC le 11 novembre 2026 ciblant les environnements partenaires ConnectWise ScreenConnect. 🎯 Nature de l’attaque Un acteur inconnu a obtenu un accès non autorisé à plusieurs panneaux partenaires ScreenConnect (hébergés dans le cloud) pour déployer : Des clients ScreenConnect malveillants (rogue clients) SCKit, un toolkit personnalisé de 16 fichiers (scripts PowerShell, batch, JSON) conçu pour la persistance, l’évasion et la propagation latérale Le vecteur d’accès initial reste non identifié à l’heure de publication. ConnectWise suspecte un abus de cinq extensions tierces (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, RMM+ Password Link), qu’il a désactivées par précaution. ...

🔍 Contexte Le 11 novembre 2026, Huntress a publié une analyse technique détaillée d’une campagne d’attaque ciblant des environnements ScreenConnect (éditeur ConnectWise). L’activité a été observée à partir de 17h47 UTC et a impacté 288 endpoints répartis dans 48 organisations en l’espace de 90 minutes. 🎯 Vecteur d’accès initial L’accès initial a été rendu possible par une faille d’authentification critique dans l’extension tierce RMM+ (versions 1.0.31 et 1.0.32). Cette extension, conçue pour permettre à des outils tiers de gérer des sessions ScreenConnect sans intervention humaine, utilisait une clé d’accès partagée vide par défaut. Si un administrateur n’avait jamais configuré cette clé, l’extension acceptait une valeur vide, contournant ainsi les comptes utilisateurs, les rôles et le MFA de ScreenConnect. ...