https://cyberveille.ch/tags/screenconnect-modifi%C3%A9/malveillant/ Recent content in ScreenConnect (Modifié/Malveillant) on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 04 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-04-screenconnect-detourne-comme-vecteur-de-propagation-vermiforme-via-vbscript/ Fri, 04 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-04-screenconnect-detourne-comme-vecteur-de-propagation-vermiforme-via-vbscript/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 3 septembre 2026 par Huntress (blog officiel), cet article détaille une campagne active observée fin août 2026 impliquant des clients <strong>ScreenConnect</strong> compromis et modifiés, utilisés pour propager une chaîne d&rsquo;attaque multi-étapes à travers des organisations non liées.</p> <h2 id="-vecteur-initial-et-propagation">🎯 Vecteur initial et propagation</h2> <p>Les incidents débutent tous par de l&rsquo;<strong>ingénierie sociale</strong> :</p> <ul> <li>Abus de <strong>Quick Assist</strong> (outil Windows légitime) dans le cadre de faux supports techniques</li> <li><strong>Phishing</strong> conduisant au téléchargement de <code>ScreenConnect.ClientSetup.msi</code></li> <li>Recherche d&rsquo;un formulaire Geek Squad menant à l&rsquo;exécution de <code>ScreenConnect.Client.exe</code></li> </ul> <p>Une fois le client ScreenConnect malveillant installé, il exécute <strong>wscript.exe</strong> de manière répétée pour lancer quatre fichiers VBScript (<code>1.vbs</code>, <code>2.vbs</code>, <code>3.vbs</code>, <code>4.vbs</code>). Le comportement vermiforme repose sur des <strong>clients ScreenConnect modifiés</strong> qui, lors de nouvelles connexions Host, transfèrent et exécutent automatiquement ces quatre scripts sur les endpoints nouvellement connectés.</p>