Campagne exploite CVE-2026-84869 dans ScreenConnect; SCKit cherche à grimper les privilèges et pivoter

Une campagne active contre les déploiements de ConnectWise ScreenConnect (également connu sous le nom de ConnectWise Control) a été basée sur l'exploitation d'une vulnérabilité déjà connue et corrigée, et non sur un nouvel échec. Point noir Les cyberchercheurs ont identifié une trousse d'outils malveillants - appelée SCKit - qui profite du CVE-2026-84869 (CVSS 9.9), une gestion de privilège manquante et une défaillance d'autorisation qui permet l'exécution de fichiers d'une session active à distance sans confirmation d'hôte. Selon les preuves partagées de l'entreprise, le fonctionnement de l'échec est bloqué si le client ScreenConnect est entièrement patché, mais la boîte à outils comprend des techniques supplémentaires pour profiter de sessions d'opérateur déjà authentifiées, ce qui augmente le risque même si le patch est appliqué.

En termes prouvés: Blackpoint Cyber a récupéré et analysé la boîte à outils et documenté la chaîne d'attaque technique suivante. L'explosion connue tente une "exécution de fichier invité-à-hôte" associée à CVE-2026-84869; le kit déploie également des composants qui installent des clients d'accès non autorisés avec NT AUTHORITY\ Contexte du SYSTEME et fonction appelée Relais conçu pour "inverser-pivot": infecter les postes de travail des techniciens qui tentent d'étudier un paramètre engagé, en utilisant la fonctionnalité de support à distance elle-même comme vecteur de propagation. ConnectWise a reconnu la recherche et a désactivé préventivement cinq extensions tierces dans certains environnements partenaires tout en continuant à enquêter.

Techniquement, la séquence décrite par Blackpoint est la suivante : l'attaquant utilise la fonctionnalité de la commande Run de ScreenConnect pour vérifier l'installation d'un produit, télécharger un installateur MSI contrôlé par l'attaquant (identifié dans l'analyse comme "sc.msi") qui exécute un dropper par lots ("sckit-run.bat"); ce téléchargement d'un décodeur PowerShell ("sckit-decoder.ps1") à partir d'un domaine contrôlé et, de là, déploie plusieurs composants - y compris un script PowerShell / Guest pour un ensemble silencieux de sessions qui interfère avec un Scryptoid # C. Si vous réussissez à remplacer l'invité légitime, la boîte à outils essaie d'exécuter la charge utile sur la machine du technicien de connexion et récupérer les sessions authentifiées (par exemple les cookies .ASPXAUTH) à partir de la mémoire de processus ou les données du navigateur pour se déplacer latéralement.

Ces techniques combinent l'exploitation de la vulnérabilité (blocage des correctifs) et l'abus de fonctionnalités de produits légitimes (non résolu uniquement avec le patch). Le vrai danger est que, si un opérateur légitime a déjà une session authentifiée contre plusieurs environnements clients - comme c'est souvent le cas dans les PSM - l'outil peut transformer l'accès à un terminal engagé en une porte pour atteindre d'autres réseaux et équipements gérés par ce technicien, distribuer des commandes avec des privilèges SYSTEM sans définir une méthode d'exécution séparée sur chaque machine.

Ceux qui sont concernés: les clients qui utilisent ConnectWise ScreenConnect / Control (en particulier les MSP et leurs partenaires), les postes de travail de techniciens qui font des connexions à distance et, par extension, les clients finaux gérés par ces techniciens. Dans le cas noté, Huntress a également détecté un défaut d'authentification dans l'extension RMM + (versions 1.0.31 et 1.0.32) qui a accepté une clé d'accès vierge si l'administrateur ne la configure pas, permettant d'exécuter des commandes sans passer par les contrôles d'authentification normaux de ScreenConnect; ConnectWise a temporairement bloqué plusieurs extensions comme mesure préventive.

Ce qui est confirmé et ce qui ne l'est pas: il est confirmé que Blackpoint a analysé la boîte à outils et que ses tests ont bloqué le fonctionnement de CVE-2026-84869 chez les clients complètement garés; il est confirmé que la boîte à outils contient des modules pour la persistance, interférer avec les sessions des invités et essayer de récupérer les sessions des opérateurs. Il n'est toutefois pas confirmé quel était le vecteur d'accès initial dans les incidents observés - Blackpoint indique qu'il pourrait être lié à des extensions malveillantes, mais il n'y a pas assez de preuves médico-légales pour établir «patient zéro» - et, jusqu'au rapport, il n'y a aucune preuve publique que la campagne ait réussi à propager l'intrusion dans les postes de travail techniques ou qu'elle ait remporté le patch CVE.

Conséquences pratiques: dans un scénario réussi, un attaquant peut obtenir la persistance dans les paramètres gérés, exécuter le code avec les privilèges du système, et utiliser des sessions authentifiées de techniciens pour diffuser des logiciels malveillants, voler des références de session et distribuer des charges utiles (ransomware, mineurs, exfiltration de données). Pour les organisations qui délèguent l'administration aux PSM, cela signifie qu'un incident dans un seul paramètre peut grimper dans plusieurs environnements clients si les sessions d'exploitation ne sont pas protégées.

Ce que les organisations devraient faire maintenant (mesures concrètes et prioritaires) : 1) Appliquer immédiatement les correctifs. Vérifiez que tous les composants ScreenConnect / ConnectWise Control - serveurs et clients - sont mis à jour à la version qui corrige CVE-2026-84869; les tests Blackpoint indiquent que l'explosion connue est bloquée après mise à jour. Consultez les informations officielles et les guides du fournisseur au Centre de confiance ConnectWise : https: / / www.connectwise.com / entreprise / trust-center.

2) Désactiver ou revoir les prorogations de tiers. Si vous donnez des instances sur site, désactivez les extensions tierces dont vous n'avez pas besoin et auditez celles qui sont installées ; ConnectWise a bloqué certaines extensions par précaution. Huntress a signalé une défaillance spécifique dans RMM + (v1.0.31 / 1.0.32) qui mérite une attention et une atténuation immédiates; voir aussi les sources du fournisseur ou développeur d'extension.

3) Détecter et étudier les signes d'engagement. Recherchez des indicateurs techniques documentés par Blackpoint : dossiers d'exécutions inhabituelles de Run Command, installations MSI avec des noms tels que "sc.msi", présence de fichiers ou de scripts tels que "sckit-run.bat", "sckit-decoder.ps1" ou "SilentForceInstall-WithUninstall.ps1," communications sortantes vers des domaines suspects observés dans l'enquête, et création de clients Access non autorisés. Isolez et conservez les preuves avant de les nettoyer pour permettre une analyse médico-légale.

4) Renforcer la protection des sessions techniques et des stations. Mettre en place une authentification multifactorielle pour les comptes administratifs et, si possible, des contrôles supplémentaires pour les actions administratives de masse (revalidation, enregistrements obligatoires). Minimiser les privilèges locaux dans les machines des techniciens et limiter leur gamme d'administration par segmentation réseau. Surveiller et restreindre les extensions qui stockent les clés partagées ou fonctionnent en dehors du modèle d'authentification ScreenConnect normal.

5) Préparer la réponse et la notification. Si vous détectez une activité suspecte, isolez les paramètres touchés, activez la capture de mémoire et les dossiers pertinents, modifiez les justificatifs d'identité et les jetons qui ont pu être exposés, et coordonnez la réponse avec votre fournisseur de PSM ou les fournisseurs d'intervention en cas d'incident. Pour les recommandations concernant les interventions en cas d'incident et les bonnes pratiques de rétablissement, voir les ressources officielles telles que le catalogue des vulnérabilités exploitées et les guides de la CISA : https: / / www.cisa.gov / knowledge-exploited-vulnerabilities-catalog et https: / / www.cisa.gov / stopransomware / identification-protect-detect-respond-recover.

Examiner plus avant les analyses techniques publiées par les équipes qui enquêtent sur la campagne (par exemple Blackpoint Cyber et Huntress) et les communications officielles de ConnectWise. Les éléments de preuve disponibles renforcent une conclusion pratique : le stationnement est essentiel, mais pas suffisant à lui seul tant que les processus de session de l'opérateur, les extensions de tiers et les politiques de privilèges continuent d'exposer des vecteurs d'abus qui permettent à un attaquant de transformer un paramètre engagé dans une rampe en autres environnements gérés. Maintenir des inventaires à jour, des contrôles d'accès stricts et un suivi des activités administratives comme mesures essentielles pour réduire ce risque.