La Direction générale de la sécurité des systèmes d’information (DGSSI) du Maroc a publié le 12 novembre 2026, un bulletin d’alerte de niveau critique, référencé 71001211/26. Il signale une campagne visant les consoles d’administration cloud de ConnectWise ScreenConnect et les prestataires informatiques managés, les MSP. Des pirates ont pris le contrôle d’au moins six prestataires et, en 90 minutes seulement, envoyé des commandes à 288 ordinateurs appartenant à 48 organisations selon la DGSSI.
Pour rappel, un MSP américain a vu entre 1 500 et 2 000 systèmes de ses clients chiffrés par un rançongiciel, via une faille dans un plugin de l’outil de gestion à distance Kaseya. Des acteurs du rançongiciel DragonForce ont récemment exploité des failles de l’outil SimpleHelp pour exfiltrer des données et déployer leur chiffreur sur plusieurs postes.
Un outil légitime détourné de son usage
Les attaquants ont exploité selon la DGSSI, la fonction « Run Command » du logiciel ScreenConnect, pourtant légitime. Ils ont installé un second client malveillant et un outil baptisé SCKit. Celui-ci permet de maintenir un accès à distance aux machines compromises, de contourner certaines protections de Microsoft Defender, de bloquer les outils de remédiation des équipes informatiques et de tenter de voler les identifiants des administrateurs pour étendre l’intrusion à d’autres réseaux.
La DGSSI précise que la campagne touche les environnements cloud utilisant certaines extensions tierces de la famille « RMM+ », notamment Labtech Plus, RMM Plus et leurs variantes Password Link. D’après l’alerte, les versions 1.0.31 et 1.0.32 de RMM+ présentent une « faiblesse d’authentification » lorsque la clé d’accès n’a jamais été configurée.
Elle demande aux organisations concernées de désactiver immédiatement les extensions identifiées, de renouveler les mots de passe, de révoquer les sessions et jetons d’accès actifs, de limiter les privilèges d’administration et d’examiner les journaux pour repérer toute activité suspecte. Elle prévient que la simple mise à jour du logiciel « ne suffit pas à garantir » qu’un système potentiellement compromis est sécurisé. Le vecteur initial de l’attaque et son ampleur exacte restent en cours d’investigation.