SCKit : malware exploite ScreenConnect pour infecter les techniciens MSP
12 novembre 2026 · Cybersécurité
Blackpoint Cyber a analysé une campagne ciblant les déploiements ConnectWise ScreenConnect exploitant CVE-2026-84869 (CVSS 9.9), une faille d'élévation de privilèges désormais patchée. Le malware SCKit inclut un composant RelayTrap capable de retourner l'infection vers le technicien qui se connecte pour investiguer, puis de voler ses sessions ScreenConnect authentifiées pour se propager latéralement à d'autres clients MSP. Huntress a par ailleurs identifié une faille d'authentification critique dans l'extension tierce RMM+ (versions 1.0.31/1.0.32) permettant l'exécution de commandes sans authentification, déjà bloquée par ConnectWise. À ce stade, aucune propagation confirmée vers un poste technicien ni contournement du patch n'a été observé.
Impact marchés
ConnectWise (non coté) et l'ensemble de l'écosystème MSP/MSSP sont exposés. Les éditeurs de sécurité spécialisés dans la protection des environnements RMM (Huntress, Blackpoint Cyber) gagnent en visibilité. Le secteur des outils d'administration à distance (RMM) subit une pression réglementaire et de réputation accrue.
Opportunités
Opportunités pour les acteurs de la sécurité des environnements MSP (EDR, MFA renforcée, session management). Risque pour les MSP non patchés d'exposition à des compromissions en chaîne touchant tous leurs clients. À surveiller : confirmation d'une propagation active et réponse réglementaire CISA.