Cyberattaques : la DGSSI alerte sur une offensive ayant touché des centaines de postes informatiques
Une campagne de cyberattaques visant le logiciel de télémaintenance ConnectWise ScreenConnect a permis à des pirates de prendre le contrôle des consoles d’administration d’au moins six prestataires informatiques. En 90 minutes, les opérations malveillantes ont touché 288 postes appartenant à 48 organisations. Face à l’ampleur de cette offensive, la Direction générale de la sécurité des systèmes d’information (DGSSI) appelle les structures concernées à renforcer immédiatement leurs dispositifs de protection.
Dans un bulletin publié jeudi 12 novembre 2026, sous la référence 71001211/26, l’autorité marocaine de cybersécurité a attribué le niveau de gravité « critique » à cette menace. L’alerte porte sur les interfaces d’administration hébergées dans le cloud de ScreenConnect, mais également sur les prestataires de services informatiques managés (MSP), dont les outils permettent d'intervenir à distance sur les infrastructures de leurs clients.
La DGSSI s'appuie notamment sur un avis de sécurité diffusé par ConnectWise, qui fait état d'une opération coordonnée ayant compromis les environnements d'administration de plusieurs fournisseurs MSP. Les attaquants ont ensuite exploité ces accès pour lancer des commandes à distance sur des centaines de machines réparties entre différentes organisations.
Selon les éléments techniques relayés par le Centre marocain de veille, de détection et de réponse aux attaques informatiques (ma-CERT), les investigations concernent principalement les environnements ScreenConnect hébergés dans le cloud, notamment les versions 26.6.6.9747 et 26.7.6.9783.
Les analyses ont mis en évidence la présence de cinq extensions tierces appartenant à la famille « RMM+ » : Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link. ConnectWise a procédé à leur désactivation préventive sur les environnements placés sous sa gestion. Leur présence ne constitue toutefois pas, à elle seule, une preuve d'intrusion.
Une faille d'authentification au cœur du scénario d'attaque
Les premiers éléments de l'enquête technique orientent les soupçons vers une faiblesse d'authentification de l'extension « RMM+ », dans ses versions 1.0.31 et 1.0.32. Le problème résiderait dans la possibilité d'accepter une clé d'accès vide lorsque l'administrateur n'en a pas préalablement configuré.
Après avoir obtenu un accès, les cybercriminels se servent de la fonction légitime « Run Command » pour déployer un second client ScreenConnect sous leur contrôle. Celui-ci est associé à un programme malveillant identifié sous le nom de « SCKit », destiné à maintenir leur présence dans les systèmes infiltrés.
Le mode opératoire comprend notamment l'installation d'un client frauduleux, le remplacement du logiciel légitime et la création d'une tâche planifiée baptisée « TrapWatch ».
Les attaquants cherchent également à entraver les opérations de défense en modifiant les paramètres de Microsoft Defender pour y ajouter des exclusions. Ils exploitent aussi AppLocker afin d'empêcher le lancement de certains outils et commandes utilisés par les équipes chargées de la remédiation.
L'attaque ne se limite pas aux premiers systèmes compromis. Les pirates récupèrent également les sessions d'administration des techniciens afin d'accéder à d'autres consoles ScreenConnect et de progresser vers de nouveaux environnements clients. Cette méthode leur permet d'étendre leur champ d'action à travers les réseaux de prestataires informatiques.
ConnectWise précise, de son côté, n'avoir constaté aucune compromission de sa propre infrastructure ni de faille intrinsèque dans le cœur du logiciel ScreenConnect. L'éditeur avertit néanmoins qu'une intrusion déjà réalisée ne peut pas nécessairement être neutralisée par la seule installation d'une mise à jour.
La DGSSI préconise une série de mesures immédiates
Face à ce scénario, la DGSSI demande aux organisations utilisatrices et à leurs prestataires de prendre rapidement des mesures pour sécuriser leurs infrastructures et empêcher toute nouvelle propagation. La priorité consiste à identifier puis désactiver les cinq extensions RMM+ signalées, y compris sur les installations hébergées localement (On-Premises). Leur remise en service doit être évitée jusqu'à nouvel ordre de l'éditeur.
Les organisations doivent également mettre fin aux sessions ouvertes sur les consoles d'administration, modifier les mots de passe et révoquer les jetons d'authentification (tokens) liés aux comptes concernés ainsi qu'aux fournisseurs d'identité.
La sécurisation des accès passe aussi par une restriction de l'utilisation des fonctions « Run Command » et « Shared Toolbox » aux seuls administrateurs autorisés. La DGSSI recommande parallèlement de contrôler les journaux de connexion et d'exécution des commandes, et de demander aux prestataires une cartographie précise de leurs solutions RMM ainsi que des comptes disposant d'accès à plusieurs environnements clients.
Sur le plan de la détection, les indicateurs de compromission (IOC) doivent être intégrés aux outils de sécurité. L'autorité préconise également de regrouper les journaux d'activité de ScreenConnect au sein d'une plateforme SIEM et de configurer des alertes en cas d'exécution inhabituelle ou massive de commandes. Elle recommande, par ailleurs, de ne pas utiliser ScreenConnect pour intervenir sur une machine faisant l'objet de suspicions de compromission.
Enfin, les structures utilisant des installations locales accessibles depuis l'extérieur doivent vérifier que les correctifs correspondant aux vulnérabilités CVE-2026-3564 et CVE-2026-84869 ont bien été appliqués. Ces deux failles avaient déjà été signalées dans des bulletins antérieurs de la DGSSI, référencés respectivement 62201903/26 et 68301009/26.
À travers cette alerte, la DGSSI met en évidence les risques associés aux solutions de télémaintenance lorsqu'elles sont compromises. En raison des privilèges dont disposent ces outils, une intrusion visant un prestataire informatique peut rapidement exposer plusieurs de ses clients et provoquer des incidents à grande échelle.
