Logiciel d’accès à distance détourné : l’arbre de décision « si… alors… » pour les PME
Un faux « contrat de service » arrive par courriel. L’employée clique, télécharge le document… et installe en réalité un logiciel d’accès à distance tout à fait légitime. Quelques minutes plus tard, l’attaquant en ajoute trois autres sur le même poste, au cas où l’un serait retiré. C’est un cas réel décrit par Huntress, qui publiait le 1er octobre 2026 son classement des tactiques qui font le plus de dégâts dans les entreprises.
Le problème : ces outils (souvent appelés RMM, pour remote monitoring and management) sont les mêmes que votre fournisseur TI utilise pour vous dépanner. Un antivirus ne les voit pas comme des virus. Il faut donc une règle simple pour décider quoi faire. La voici, sous forme d’arbre de décision.
45 %
des incidents sur postes de travail traités par Huntress au 1er trimestre 2026 impliquaient un outil d’accès à distance détourné
1 clic
sur un faux contrat : Tiflux, puis UltraVNC, Splashtop et ScreenConnect sur le même poste
24,6 %
des signaux de menaces d’identité en 2026 visent la manipulation de boîtes courriel (Huntress)
Ces pourcentages ne mesurent pas la même chose (incidents sur postes vs signaux d’identité) : on ne peut pas les additionner ni les comparer entre eux.
L’arbre de décision : un logiciel d’accès à distance apparaît
Point de départ : quelqu’un vous demande d’installer un outil de prise de contrôle à distance, ou vous en voyez un sur un poste (icône inconnue, fenêtre « session en cours », souris qui bouge seule). Suivez les questions dans l’ordre.
QUESTION 1
La demande vient-elle d’un courriel, d’un appel ou d’une page web (« contrat », « document partagé », « mise à jour », faux CAPTCHA) ?
SI OUI, ALORS…
N’installez rien. Appelez votre fournisseur TI au numéro que vous connaissez déjà, jamais celui du message. Un vrai technicien ne se fâchera pas que vous vérifiiez.
Si non ↓
QUESTION 2
L’outil figure-t-il sur la liste des outils approuvés de l’entreprise ?
SI NON (OU SI VOUS NE SAVEZ PAS), ALORS…
Débranchez le poste du réseau (câble et Wi-Fi), sans l’éteindre, pour garder les traces. Appelez votre TI. Pas de liste d’outils approuvés ? C’est le premier chantier.
Si oui ↓
QUESTION 3
Y a-t-il plusieurs outils d’accès à distance sur le même poste ?
SI OUI, ALORS…
Traitez-le comme un incident. Empiler des outils pour se garder plusieurs portes de retour, c’est exactement ce qu’a fait l’attaquant dans le cas Tiflux. Isolez le poste et faites vérifier chaque outil.
Si non ↓
QUESTION 4
La session en cours correspond-elle à une demande connue (billet, appel prévu, heure normale) ?
SI NON, ALORS…
Coupez la session, prévenez votre TI, changez le mot de passe du compte utilisé depuis un autre appareil, et faites vérifier les règles de la boîte courriel (voir plus bas).
Si oui ↓
Tout concorde : outil approuvé, seul sur le poste, session attendue. Laissez travailler votre technicien, et notez l’heure et le motif. Ce journal servira le jour où quelque chose ne concordera pas.
Pourquoi ce piège fonctionne si bien
- L’outil est légitime. Une copie installée par un attaquant se comporte comme la copie approuvée : accès persistant et commandes à distance qui ressemblent à du travail d’administrateur ordinaire. Huntress qualifie cette catégorie de « à un saut » du rançongiciel ou du vol de données.
- Le leurre est crédible. Dans le cas étudié par Huntress, le courriel menait à une page protégée par un CAPTCHA, puis à un faux téléchargement de « contrat de service ». Le fichier, nommé Network Solutions Agreement.msi, était en fait l’installateur de Tiflux. Huntress observe déjà des leurres de ce genre rédigés avec l’IA.
- Un clic ouvre plusieurs portes. Après Tiflux, l’intrus a ajouté UltraVNC, Splashtop et parfois ScreenConnect. L’installateur de Tiflux contenait aussi un pilote vulnérable et périmé, ce qui augmente encore le risque.
Le même réflexe pour votre boîte courriel
Huntress classe dans la même zone « critique » la manipulation de boîtes courriel : un intrus crée une règle qui envoie discrètement les réponses d’un fournisseur dans un dossier que personne ne regarde, puis remplace une facture pour détourner un paiement. Si la question 4 de l’arbre vous a mené à « non », faites vérifier ces règles. On a décrit la technique de vol de session qui contourne la MFA dans notre article sur FlowerStorm et l’hameçonnage AiTM.
Trois règles à mettre en place cette semaine
- Une liste écrite des logiciels d’accès à distance approuvés (idéalement un seul), connue de tous les employés.
- Pas de droits d’administrateur pour les utilisateurs : sans ces droits, l’installation d’un logiciel bloque ou exige une approbation.
- Une alerte quand un nouvel outil d’accès à distance apparaît sur un poste. Huntress suggère de poser la question simplement à votre équipe TI : « Quels outils sont approuvés, et qu’est-ce qui vous avertit quand un autre apparaît ? »
Comment NeoTech peut vous aider
Pour les PME de Laval, Montréal et de la Rive-Nord, on dresse l’inventaire des logiciels d’accès à distance installés, on retire ceux qui n’ont pas d’affaire là et on retire les droits d’administrateur inutiles. Notre surveillance automatisée 24/7 avec intervention du technicien de garde signale l’apparition d’un outil non approuvé. Voir aussi nos services de cybersécurité et nos services Microsoft 365 pour les règles de boîte courriel.
Réservez votre Bilan cyber gratuit
Vous ne savez pas combien d’outils d’accès à distance tournent sur vos postes, ni qui les a installés ? En une courte rencontre, on fait le tour et on priorise les correctifs.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Huntress — The Huntress Tragic Quadrant (1er octobre 2026)
- Huntress — Threat Actors Weaponize Tiflux RMMs in Malspam Attacks
- Help Net Security — How RMM abuse gives attackers a way in that looks like business as usual (5 octobre 2026)
Photo : Dmitry Shibanov (Pexels).
One thought on “Logiciel d’accès à distance détourné : l’arbre de décision « si… alors… » pour les PME”