SCKit Worm : clients ScreenConnect pirates et relais de cookies de session sur 288 endpoints

Fri, 13 Nov 2026 00:00:00 +0100

🔍 Contexte

Le 11 novembre 2026, Huntress a publié une analyse technique détaillée d’une campagne d’attaque ciblant des environnements ScreenConnect (éditeur ConnectWise). L’activité a été observée à partir de 17h47 UTC et a impacté 288 endpoints répartis dans 48 organisations en l’espace de 90 minutes.

🎯 Vecteur d’accès initial

L’accès initial a été rendu possible par une faille d’authentification critique dans l’extension tierce RMM+ (versions 1.0.31 et 1.0.32). Cette extension, conçue pour permettre à des outils tiers de gérer des sessions ScreenConnect sans intervention humaine, utilisait une clé d’accès partagée vide par défaut. Si un administrateur n’avait jamais configuré cette clé, l’extension acceptait une valeur vide, contournant ainsi les comptes utilisateurs, les rôles et le MFA de ScreenConnect.

RMM+ on CyberVeille

SCKit Worm : clients ScreenConnect pirates et relais de cookies de session sur 288 endpoints

🔍 Contexte

🎯 Vecteur d’accès initial