侵害されたリモートサポート用コンソールは、攻撃者に複数の顧客のデバイスへ侵入する経路を与え、コンソールを保護した後も不正アクセス手段を残す可能性がある。
Huntressは、クラウド上でホスティングされたConnectWise ScreenConnectのパネルを使い、不正なリモートアクセスクライアントとSCKitと呼ばれるツールキットをインストールした攻撃を調査している。同社は、11月11日に検知された活動を受け、顧客基盤に属する48組織で少なくとも288台のエンドポイントが影響を受けたと報告した。
マネージドサービスプロバイダー（MSP）にとって、当面の課題は管理者アカウントの保護だけにとどまらない。顧客のエンドポイントを調査し、感染が疑われるデバイスとはScreenConnectの対話型セッションを開始しないよう技術者に指示する必要がある。
攻撃者はリモートサポートのコマンドを使って不正なクライアントを展開した。
Huntressの 技術分析によると、攻撃者はScreenConnectの「Run Command」機能を使い、SYSTEM権限で複数のエンドポイントにコマンドを送信した。確認された288台のホストすべてが90分以内に影響を受け、そのおよそ3分の1は最初の10分以内に影響を受けていた。
コマンドによって、攻撃者が管理するScreenConnectクライアントとSCKitがインストールされた。研究者は、TrapWatchというスケジュールタスクと、C:\ProgramData\RelayTrap\にあるツールキットのディレクトリも特定した。
Huntressは、感染したエンドポイントから技術者のワークステーションへ、さらにその技術者のScreenConnectセッションからアクセス可能な追加のエンドポイントへと拡散することを意図したコードを発見した。ただし、いずれの段階も成功したことは確認されておらず、調査した回収済みのホストログでは、コンソール乗っ取りの試みはすべて失敗していた。
この違いは重要だ。顧客のエンドポイント全体への展開は確認された一方、技術者を経由した自動的な拡散の成功は確認されていない。
正規のリモートアクセスソフトウェアの悪用は、 偽のClawdbot VS Code拡張機能にも見られた。これと同様に、 DocuSignを装ったフィッシング攻撃では、正規のリモート管理ツールがWindowsおよびmacOSのユーザーに配布された。見慣れた製品名だけでは、インストールが承認済みであるとは判断できない。
ConnectWise、サードパーティー製拡張機能5件を無効化。
ConnectWiseの 11月12日付のアドバイザリー更新では、初期評価から、独立系サードパーティー製拡張機能が悪用された可能性が示された。初期アクセスの方法と全容については調査が続いており、同社はConnectWiseのインフラが侵害された証拠や、ScreenConnect自体の脆弱性を示す証拠はないと報告した。
予防措置として無効化の対象になった5つの拡張機能は次のとおり。
- Labtech Plus
- RMM Plus
- RMM+
- RMM Plus Password Link
- RMM+ Password Link
ConnectWiseは、一覧にある拡張機能を少なくとも1つ導入しているパートナー環境を約400件特定し、自社で操作可能な環境では拡張機能を無効化した。オンプレミスのパートナーは自ら無効化する必要があり、今後の指針が示されるまで再インストールや再有効化を行うべきではない。
同社によると、これらの拡張機能は、パートナーが設定したパスフレーズで保護されたリモートコマンドAPIを提供している。調査担当者は、このAPIが侵入経路だったかどうかを確認していない。約400件の環境には拡張機能が含まれていたが、すべてが侵害されたと確認されたわけではない。これらは、Huntressが報告した影響を受けたエンドポイント数や組織数とは別に集計すべきだ。
リモートアクセスを再開する前にエンドポイントを調査する。
Huntressの インシデント対応手順では、影響を受けた顧客に対し、新規インスタンスや試用インスタンスを含め、いかなるScreenConnectインスタンスからも感染ホストに接続しないよう警告している。隔離によって攻撃者のアクセスは遮断できるが、ツールキットは削除されない。
Huntressは、エンドポイント検知・対応（EDR）のライブレスポンス、または別の帯域外コマンドラインツールを使って調査することを推奨している。感染が疑われるホストに接続した技術者のワークステーションも評価対象にすべきだ。
対応担当者は、作業を次の3領域に分けて進めるべきだ。
領域： | 確認すべき事項： |
|---|---|
| 管理アクセス | 関与したアカウント、セッション、コマンドと、それらが到達できた顧客システム。 |
| 顧客のエンドポイント | 封じ込め後も追加のリモートアクセスクライアントや永続化手段が残っていないか。 |
| 技術者のワークステーション | スタッフが感染の疑われるデバイスに接続したか、またそのシステムやセッションが露出した可能性があるか。 |
ConnectWiseは、別のセキュリティツールを使用し、ログを保存したうえで、ScreenConnectと関連するIDプロバイダーのセッションを無効化し、信頼できるデバイスから認証情報をリセットし、多要素認証を適用することを推奨している。
調査は、管理記録とエンドポイントの証拠の両方を軸に進めるべきだ。Run Commandの履歴は展開された期間の特定に役立ち、エンドポイントのテレメトリーは、その後に行われたインストールを明らかにできる。ScreenConnectのサービスをすべて悪意あるものとみなすのではなく、承認済みの保守作業と照合する必要がある。
フィッシングキャンペーンにおける RMMツールの広範な悪用は、承認済みのリモートアクセス製品とその管理者を記録しておく必要性を浮き彫りにしている。今回のインシデントでは、その一覧が、対応担当者が予期しないクライアントを特定するための基準となる。
MSPを利用する企業は、どの管理環境を調査したのか、デバイスに不正なソフトウェアが配布されていないか、プロバイダーがどのようにクリーンアップを検証したのかについて、明確な報告を求めるべきだ。拡張機能が無効化されたという確認だけでは、その問いの一部にしか答えていない。
通常のサポートを再開する前に、再接続を誰が承認するのかを記録し、次の事項を裏付ける証拠を求めるべきだ。
- 関連するログとエンドポイントの証拠が、クリーンアップ前に保存されていること。
- 不正なリモートアクセスクライアントと永続化メカニズムが削除されていること。
- 露出した可能性のあるセッションが無効化され、影響を受けた認証情報がリセットされていること。
- 再感染がないことを確認する追跡調査が実施されていること。
パスワードのリセット、拡張機能の無効化、エンドポイントのクリーンアップは、侵入の異なる部分に対処するものだ。調査担当者がアクセス経路と全容を明らかにするまで、管理アクティビティとエンドポイントの両方を継続的に監視し、ベンダーの更新情報に従う必要がある。
詳しく読む： 信頼されたGoogleリンクに隠された認証情報の窃取とScreenConnectのインストールを攻撃者はいかに実行するのかでは、不正なリモートアクセスが従業員のデバイスに到達する別の経路を解説している。