Depuis la Silicon Valley, où les outils de gestion à distance font partie du quotidien des entreprises tech, l’alerte de la Direction générale de la sécurité des systèmes d’information (DGSSI) du Maroc, publiée ce 12 novembre 2026 et classée « critique » à la fois pour le risque et l’impact (référence 71001211/26), attire mon attention pour une raison simple : elle illustre, une fois de plus, comment une intrusion chez un prestataire peut contaminer des dizaines d’organisations en quelques minutes.
Une campagne coordonnée a pris le contrôle des consoles d’administration d’au moins six prestataires de services informatiques managés (MSP) utilisant l’édition cloud de ConnectWise ScreenConnect. En 90 minutes seulement, des commandes ont été envoyées vers au moins 288 ordinateurs répartis dans 48 organisations dans le monde, selon les informations relayées par la DGSSI et les observations de chercheurs comme Huntress. Ce n’est pas une faille spectaculaire dans le logiciel lui-même, mais un détournement d’outils légitimes qui pose un problème structurel bien plus large pour l’économie numérique.
Une alerte pour les entreprises
Les MSP, ces prestataires auxquels de nombreuses sociétés confient la gestion de leurs parcs informatiques, sont devenus des points de concentration de risques. En externalisant la maintenance, les entreprises gagnent en efficacité et réduisent leurs coûts internes, mais elles accordent aussi des accès étendus à des partenaires. Une seule console compromise peut alors servir de tremplin vers des clients multiples.
ConnectWise ScreenConnect est l’un des outils les plus utilisés dans cet écosystème pour la prise en main à distance : il permet aux techniciens d’accéder aux machines, d’exécuter des commandes et de réaliser des opérations de maintenance sans déplacement physique. Ces fonctionnalités, indispensables au quotidien, deviennent dangereuses lorsqu’elles sont détournées. La DGSSI souligne précisément ce mécanisme : une intrusion initialement limitée chez un prestataire peut se propager rapidement à travers les réseaux de ses clients.
Les enjeux économiques sont directs. Une compromission peut entraîner l’accès à des données confidentielles, l’installation de logiciels malveillants supplémentaires, des interruptions d’activité ou la préparation d’attaques par rançongiciel. Sur le plan stratégique, elle questionne la confiance dans la chaîne d’approvisionnement informatique, un sujet sensible pour les entreprises de toutes tailles, des PME aux grands groupes qui externalisent leur IT. Au Maroc, l’alerte de la DGSSI (rattachée à l’Administration de la Défense nationale) montre aussi une vigilance nationale face à une menace internationale.
Le déroulement de la campagne et le rôle de SCKit
Selon les données consolidées par la DGSSI et les analyses de Huntress, les attaquants ont détourné la fonctionnalité légitime « Run Command » de ScreenConnect pour installer un second client de connexion à distance sous leur contrôle, accompagné d’un outil malveillant baptisé SCKit. Ce dernier est conçu pour maintenir une présence persistante : il peut installer un client non autorisé, modifier des paramètres de Microsoft Defender pour affaiblir les protections, utiliser des fonctionnalités Windows (comme AppLocker) pour bloquer certains outils de remédiation des administrateurs, et créer une tâche planifiée nommée « TrapWatch ».
SCKit comporte également des mécanismes visant à récupérer les sessions d’administration des techniciens, avec l’objectif potentiel de se propager vers d’autres consoles ScreenConnect. Une partie de ces capacités de propagation a été observée dans le code, même si toutes n’ont pas été systématiquement constatées en action dans les incidents documentés. Les versions de ScreenConnect principalement concernées sont les 26.6.6.9747 et 26.7.6.9783, des builds récents.
Une piste examinée concerne une faiblesse d’authentification dans certaines versions (1.0.31 et 1.0.32) de l’extension tierce RMM+. Lorsque l’administrateur n’a jamais configuré de clé d’accès, le système peut accepter une clé vide, contournant ainsi les mécanismes d’authentification habituels de ScreenConnect (comptes, rôles et MFA). Cette faiblesse constitue une piste, mais le point d’entrée initial n’a pas encore été formellement établi. ConnectWise précise qu’aucun élément ne permet, à ce stade, de conclure à une compromission de sa propre infrastructure ou à l’exploitation d’une vulnérabilité dans ScreenConnect lui-même. L’éditeur a désactivé préventivement plusieurs extensions de la famille RMM+ (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link) dans environ 400 environnements auxquels il avait accès, tout en rappelant que leur simple présence ne prouve pas une compromission.
Chiffres clés de la campagne
- Au moins six prestataires MSP dont les consoles d’administration ont été compromises.
- 288 ordinateurs au minimum touchés dans 48 organisations.
- Propagation des commandes en 90 minutes (avec une part significative dans les premières minutes selon les observations de Huntress).
- Environ 400 environnements où ConnectWise a désactivé des extensions par précaution.
Les recommandations et les limites des correctifs
La DGSSI appelle les organisations et leurs prestataires à vérifier immédiatement la présence de ces extensions et à les désactiver, y compris sur les installations on-premises, sans les réactiver avant de nouvelles instructions de l’éditeur. Elle recommande de révoquer les sessions d’administration actives, de renouveler les mots de passe et jetons, de limiter les autorisations sur « Run Command » et « Shared Toolbox », d’examiner les journaux pour des connexions inhabituelles, des installations non autorisées ou des créations de comptes administrateurs, et de ne pas utiliser ScreenConnect pour investiguer des postes suspects. Les entreprises doivent interroger leurs prestataires sur les outils RMM utilisés et les comptes disposant d’accès privilégiés.
Point essentiel souligné par l’autorité : la simple mise à jour du logiciel ne garantit pas l’élimination d’une éventuelle compromission. Des mécanismes de persistance peuvent avoir été installés. ConnectWise, de son côté, poursuit ses investigations et invite les partenaires à sécuriser leurs environnements.
Pour conclure
Cette campagne rappelle un schéma connu dans l’industrie : les outils de remote monitoring and management (RMM) et de remote access, très prisés pour leur productivité, concentrent les risques de supply chain. Des incidents antérieurs (comme ceux liés à d’autres solutions de gestion à distance) ont déjà montré que compromettre un MSP permet d’atteindre simultanément de nombreux clients. Ici, la rapidité (90 minutes pour des centaines de machines) et la sophistication de SCKit (persistance, contournement de défenses, tentative de propagation via les techniciens) renforcent l’urgence.
Du point de vue de ConnectWise, l’incident semble lié à l’abus d’extensions tierces plutôt qu’à une faille dans leur produit principal. Les chercheurs, eux, mettent en avant la faiblesse d’authentification dans RMM+ et le design de SCKit. La DGSSI, en classant l’alerte critique, insiste sur la nécessité d’une réponse immédiate et sur le fait que la sécurité des systèmes d’une entreprise dépend aussi de celle de ses partenaires.
Pour les entreprises, l’enjeu dépasse la technique : il s’agit de revoir les contrats avec les prestataires, les contrôles d’accès, la segmentation et la surveillance des activités RMM. Une intrusion chez un partenaire peut exposer des systèmes sans défaillance directe des propres protections. À l’échelle macro, cela interroge la résilience des chaînes d’approvisionnement numérique et la responsabilité partagée entre éditeurs, prestataires et clients.
L’enquête se poursuit. Le vecteur initial exact et l’étendue complète restent sous investigation. Dans un contexte où les outils de remote access sont omniprésents, cette alerte invite à une vigilance renforcée, au-delà des simples mises à jour.
FAQ
La DGSSI confirme-t-elle une compromission de l’infrastructure de ConnectWise ?
Non. L’autorité reprend les déclarations de ConnectWise indiquant qu’aucun élément ne permet à ce stade de conclure à une compromission de son infrastructure ou à une vulnérabilité dans ScreenConnect lui-même. Le point d’entrée initial est toujours en cours d’investigation.
La simple mise à jour de ScreenConnect suffit-elle à sécuriser les systèmes ?
Non. La DGSSI souligne que des mécanismes de persistance peuvent avoir été installés par les attaquants. Une vérification approfondie (désactivation des extensions, révocation des sessions, analyse des journaux) est nécessaire.
Quelles organisations sont les plus concernées ?
Celles qui utilisent, ou dont les prestataires utilisent, l’édition cloud de ScreenConnect avec des extensions de la famille RMM+ (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, RMM+ Password Link). Les installations on-premises doivent aussi être vérifiées.
Quels sont les risques concrets pour une entreprise cliente d’un MSP ?
Accès non autorisé aux systèmes, installation de logiciels malveillants, perturbation des activités ou préparation d’attaques plus destructrices. Ces risques sont potentiels et dépendent de l’étendue de la compromission chez le prestataire.
