ScreenConnect détourné par SCKit : quand l’outil d’accès à distance de votre fournisseur TI ouvre une deuxième porte
Votre fournisseur TI se connecte probablement à vos ordinateurs avec un outil d’accès à distance. C’est pratique : il règle un problème sans se déplacer. Cette semaine, cet outil est devenu la porte d’entrée d’une attaque. Depuis le 11 novembre 2026, des pirates utilisent ScreenConnect, l’outil de ConnectWise très répandu chez les fournisseurs de services gérés, pour installer un deuxième logiciel d’accès à distance sur les postes de leurs clients, puis une trousse malveillante baptisée SCKit.
Le point important pour une PME : la victime n’a rien eu à cliquer. Les commandes sont arrivées par le canal de soutien légitime de son fournisseur. Voici ce qui s’est passé, comment repérer les traces, et les cinq questions à poser à votre fournisseur TI dès lundi.
ScreenConnect et SCKit : ce qui s’est passé en trois jours
Selon l’avis de ConnectWise repris par Microsoft, les versions 1.0.31 et 1.0.32 de l’extension tierce RMM+ acceptaient une clé d’accès vide lorsque personne n’en avait configuré une. Quelqu’un pouvait alors envoyer des commandes aux postes gérés sans se connecter normalement à la console. Une CVE (CVE-2026-127063) a été attribuée à cette extension; aucune version corrigée n’est annoncée, la mesure actuelle est de la désactiver.
La commande reçue par les postes des clients
Microsoft a publié la forme des commandes envoyées. En résumé, simplifié et annoté :
Pourquoi un client peut être touché sans rien faire
Chaque maillon ci-dessous est un outil légitime ou une option oubliée. C’est leur enchaînement qui crée l’attaque :
1
Une extension oubliée
RMM+ est installée sur le serveur ScreenConnect du fournisseur pour un projet, puis laissée en place, sans clé configurée.
2
Une commande « légitime »
Le pirate envoie une commande par la fonction Run de ScreenConnect. Le poste client l’exécute comme si elle venait du fournisseur.
3
Un deuxième accès
Un client ScreenConnect relié au pirate s’installe, avec la trousse SCKit.
4
Un piège pour le technicien
Le composant RelayTrap attend qu’un technicien se connecte au poste infecté pour tenter de lui transmettre la trousse.
5
Les cookies de session
SCKit cherche les cookies de connexion à la console dans Chrome, Edge et Opera, pour atteindre d’autres clients du même fournisseur.
Microsoft précise que ce passage du poste client au technicien est prévu dans le code de la trousse, sans en confirmer le succès. ConnectWise indique que les clients technicien en version 26.6.5 ou plus récente bloquent cette technique (correctif de CVE-2026-84869, publié le 8 septembre 2026). Nous avions déjà décrit ce type de risque dans notre article sur la faille N-able N-central Able2Shell.
Les signes à vérifier sur vos postes
🖥️
Deux clients ScreenConnect sur le même poste
Dans les programmes installés ou les services Windows : un « ScreenConnect Client » de plus que prévu, ou relié à une adresse inconnue.
⏰
Une tâche planifiée « TrapWatch »
Dans le Planificateur de tâches; Microsoft la cite parmi les traces de SCKit.
📁
Un dossier C:\ProgramData\RelayTrap
Ou des fichiers « sckit » dans le dossier temporaire de Windows.
🛡️
De nouvelles exclusions dans Microsoft Defender
Des dossiers exclus de l’analyse que personne chez vous n’a demandés.
📜
Des commandes que personne n’a lancées
Dans l’historique Run Command et Toolbox de la console ScreenConnect : à vérifier par votre fournisseur.
🍪
Des sessions ouvertes inexpliquées
Des connexions à vos comptes infonuagiques depuis un appareil ou un pays inhabituel.
🚫 Si vous trouvez une trace : ne laissez pas le technicien se connecter par ScreenConnect
ConnectWise et Microsoft recommandent d’enquêter par un autre canal. Une session ScreenConnect vers un poste infecté peut exposer le poste du technicien. Isolez l’appareil du réseau, puis révoquez les sessions et changez les mots de passe à partir d’un appareil sain : changer le mot de passe ne ferme pas toujours les sessions déjà ouvertes, comme nous l’expliquions dans notre article sur le vol de session Microsoft 365.
5 questions à poser à votre fournisseur TI dès lundi
📄 Courriel à votre fournisseur TI : ScreenConnect et SCKit
Une bonne réponse est précise, datée et écrite. Une réponse vague (« on s’en occupe ») mérite une relance. Pour aller plus loin, notre arbre de décision sur les logiciels d’accès à distance détournés vous aide à trier les situations.
Comment NeoTech peut vous aider
Pour nos clients en services TI gérés, nous tenons l’inventaire des outils d’accès à distance autorisés sur chaque poste, nous retirons les extensions et intégrations qui ne servent plus, et nous offrons une surveillance automatisée 24/7 avec intervention du technicien de garde lorsqu’un logiciel d’accès à distance inconnu apparaît ou qu’une session se comporte de façon anormale. Si vous travaillez avec un autre fournisseur, nous pouvons vérifier vos postes de façon indépendante.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous vérifions quels outils d’accès à distance sont installés sur vos postes, s’ils sont tous attendus, et comment votre fournisseur TI protège sa console.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Microsoft Security Blog — SCKit abuses ScreenConnect to deploy remote access and target technician sessions (13 nov. 2026) (en anglais)
- ConnectWise — ScreenConnect security advisory: precautionary extension disabling and partner guidance (en anglais)
- ConnectWise — CVE-2026-127063 (extension tierce RMM+) (en anglais)
- Cybersecurity Dive — ConnectWise disables third-party extensions as it probes cyberattack targeting ScreenConnect users (12 nov. 2026) (en anglais)
- NHS England Digital — ConnectWise Releases Security Advisory Following Unauthorised Access to ScreenConnect Environments (en anglais)
Photo : Tima Miroshnichenko, Pexels (licence Pexels).