Le logiciel malveillant de type ver SCKit cible les MSP dans les attaques ScreenConnect

BleepingComputer rapporte que SCKit a été déployé lors des récentes attaques ScreenConnect visant des fournisseurs de services managés (MSP). Selon l’article, la boîte à outils est conçue pour se propager des terminaux clients infectés vers les postes des techniciens des MSP, puis compromettre d’autres réseaux gérés. Elle tente d’exploiter la CVE-2026-84869, une vulnérabilité de transfert de fichiers côté client ScreenConnect corrigée précédemment, mais Blackpoint Cyber a confirmé que l’exploit a échoué lors de tests sur un client ScreenConnect corrigé, et Huntress et Blackpoint Cyber n’ont pas observé d’exploitation réussie pendant les attaques.

Huntress indique dans un rapport mis à jour que les attaques ont compromis au moins 288 terminaux dans 48 organisations, et estime que l’accès initial est passé par RMM+, une extension tierce de ScreenConnect. Les versions 1.0.31 et 1.0.32 contenaient une faille d’authentification pouvant permettre l’exécution de commandes lorsqu’aucune clé d’accès n’avait été configurée. ConnectWise a désactivé cinq extensions tierces potentiellement liées dans environ 400 environnements partenaires et a précisé que leur présence ne signifie pas que ces environnements ont été compromis.

Selon les chercheurs, SCKit est un ensemble de 16 scripts et composants qui établissent un accès à distance persistant et tentent de voler les cookies d’authentification ScreenConnect dans les navigateurs des techniciens. Huntress note également que le composant RelayTrap semble avoir été généré à l’aide d’un grand modèle de langage. Les MSP sont invités à désactiver les extensions concernées, à mettre à jour leurs clients ScreenConnect et à examiner l’activité Run Command et Toolbox à la recherche de signes de compromission.

Pourquoi c’est important Pour les MSP, la conception de type ver signifie qu’un terminal client compromis pourrait atteindre le poste d’un technicien et ses autorisations ScreenConnect existantes, étendant une intrusion à plusieurs organisations clientes. Selon notre analyse, l’échec de l’exploit signalé et l’absence de propagation observée réduisent le risque immédiat, mais les techniques de vol de cookies et de réutilisation de session font de l’examen des extensions, de l’activité Run Command et des sessions des techniciens une priorité pour les enquêteurs.