サイバー攻撃者たちは、正規のリモート監視・管理(RMM)ツールであるScreenConnectを悪用して組織を侵害するソーシャルエンジニアリングキャンペーンを展開しており、RMM悪用の手口を新たな領域へと押し広げています。
このキャンペーンを発見したSecuronixの研究者たちが「Smoke#Screen」と名付けたこの攻撃は、ZoomやAdobeの「アップデート」を装った餌、業務文書のレビュー依頼、システムメンテナンスツールなどのおとりを使用します。初期アクセス用ファイルのいずれかを実行した被害者の元には、完全に機能するScreenConnectエージェントが静かにインストールされ、攻撃者が管理する3台の中継サーバーのいずれかへビーコン通信を開始します。これにより攻撃者は、侵害したホストに対して一見正規に見える持続的なリモートアクセス手段を手に入れることになると、本日公開された報告書は指摘しています。
RMMツールの悪用は、攻撃者がセキュリティ制御を回避し侵害したシステム上に持続性を維持するための手口として今やますます一般的になっていますが、WindowsとmacOSの両システムを標的とする今回のキャンペーンは「時間の経過とともに明確な進化」を遂げていると、Securonixの研究者たちは述べています。Securonixの脅威リサーチマネージャーであるAaron Beardslee氏はDark Readingに対し、Smoke#Screenにはいくつかの重要な点で際立った特徴があると語っています。
そのうちの2つは、ペイロードのローテーションと被害者を釣るための誘い文句に関するものです。報告書によれば、「このキャンペーンは、VBScriptドロッパー、バッチファイルローダー、コンパイル済みの.NET実行ファイル、HTMLフィッシングページといったツールキットに依存しており、いずれも最終的には稼働中の……ステージングサーバーへとつながっています」とのことです。攻撃者がマルウェアのペイロードをローテーションさせること自体は今や一般的な手法となっていますが、個々のダウンロードセッションごとにペイロードを切り替えるという運用は異例だと、Beardslee氏は述べています。
このキャンペーンの誘い文句の戦略も同様に特徴的で、攻撃者は1つのソーシャルエンジニアリングのテーマを使い回すのではなく、心理的に異なる4つの文脈を使い分けており、その巧妙さがうかがえるとBeardslee氏は指摘します。ZoomやAdobeのアップデートは、管理されていない、あるいは私物端末(BYOD)を利用する個人の習慣を狙ったものであり、文書レビューのおとりは企業のメールでの日常的な業務行動を悪用したものです。そして「SystemCheck」というメンテナンスツールを装ったおとりは、ユーザーアカウント制御(UAC)のプロンプトが正規のものであるかのように見せかけるよう設計されています。
報告書によると、攻撃者は「潜在的な被害者の母数を最大化する」ために幅広いおとりを用いたとみられ、さらにダウンロードセッションごとにペイロードのハッシュ値を積極的にローテーションさせることで、「複数回の調査期間にわたってハッシュベースの検知を無効化」していたとのことです。
サイバー犯罪者のOPSEC失態:Smoke#Screenの舞台裏を覗く
Securonixの調査は、テレメトリに提出された1つのVBScriptドロッパー(zoom-update.vbs)から始まりました。研究者たちはこれを追跡し、15種類の独自のペイロード一式をホストする稼働中のステージングサーバーへとたどり着きました。
研究者たちは、「インフラをマッピングし、収集した全サンプルの分析を行うことで、5つの異なる攻撃連鎖(キルチェーン)を再構築し、3台の独立したScreenConnect中継サーバーを特定し、さらに攻撃者の手口が最も慎重だった初期のサンプルから現在の最も攻撃的な構成へとどのように進化していったかを記録することができました」と記しています。
実際のところ、これほど包括的な調査が可能になったのは、攻撃者自身が攻撃プロセスの多くを露呈させていたからだと、Beardslee氏は説明します。「彼らはC#のソースコードを、コンパイル済みのビルドの隣にあるオープンディレクトリに置きっぱなしにしていました。おかげで私たちは開発プロセスを推測する必要がなく、そのまま読み取ることができたのです」と同氏は述べています。
この“開け放たれた窓”を通じて、研究者たちはバージョン間で機能が追加されていく様子を観察し、2つのバイナリが実は名前違いの同一ファイルであることを突き止めました。さらに、「評判(レピュテーション)対策としてDropboxを、匿名性の確保のためにCloudflareのQuick Tunnelを、そしてペイロード自体には本物のConnectWiseのDigiCert署名を使用しており、それぞれの層が異なる防御策を突破し、単一の防御策では全体像を捉えられない仕組みになっている」と、Beardslee氏は指摘します。
この可視性のおかげで、研究者たちは攻撃者の一連の行動に矛盾があるように見える点に首をかしげることにもなったと、同氏は付け加えます。同一の攻撃者の行動とは思えないような振る舞いも見られ、「それは注意を払う価値がある点です」と同氏は述べる一方、複数の攻撃クラスターがこのキャンペーンの背後にいるとまでは言及しませんでした。研究者たちは代わりに、これを「多様なツールキットを構築した、能力の高い、積極的に維持・改良され、急速に適応している脅威アクター」の仕業だと結論づけています。
サイバー防御担当者はリモート管理の侵害をどう防ぐべきか
攻撃者が今後もRMMツールを攻撃手段として使い続けるつもりであることは明らかです。その主な理由は、セキュリティチームによる検知が非常に困難だからです。「このペイロードはマルウェアではありません。そこにこそ問題の本質があります」と、Beardslee氏は述べています。「シグネチャ化できるC2プロトコルもなければ、未署名のバイナリもなく、インジェクトされたプロセスもありません。インストール後のプロセスツリーにも不審な点は一切なく、あるのはただ、ConnectWiseが本来意図した通りに動作している、正しく署名されたConnectWiseのサービスだけです。しかしそれには、対話的なデスクトップの完全な制御機能と、資格情報プロバイダーDLLが含まれているのです」。
報告書によると、組織がこの種の回避手法から身を守るためには、Defenderの改ざん、許可されていないRMMのインストール、生のIPアドレスへのScreenConnect接続、エンドポイント検知・対応(EDR)対策の逆探知パターンなどを対象とした行動ベースの検知が導入されていることを確認すべきだとしています。
Securonixによると、その他の防御策としては、UACを「常に通知する」設定にし、標準ユーザーが管理者権限を要するタスクに対してUACプロンプトを回避できないようにすること、また、powershell.exeやcmd.exeがサイレントインストールのフラグ付きでmsiexec.exeを起動するといった、親子プロセスの異常な関係を検知する行動ベースのEDRルールを実装することが挙げられています。
特にSmoke#Screenに関しては、脅威アクターがCloudflareトンネル、Dropbox、ConnectWiseの署名付きバイナリ、そして自己完結型の暗号化バンドルを回避手段として利用していることから、シグネチャベースやレピュテーションベースの制御だけでは不十分です。したがって、こうした活動を捕捉するための最も信頼できる手段は、依然として行動ベースの検知にほかならないと、研究者たちは付け加えています。
