ScreenConnectが「SMOKE#SCREEN」キャンペーンによって組織的に悪用されています。攻撃者は実行ウィンドウを隠し、インストーラーを削除し、悪意ある活動を通常のソフトウェア更新に見せかけることで、完全に機能する正規署名済みのScreenConnectエージェントをWindowsおよびmacOSのエンドポイントに仕掛けています。
その結果、通常のIT運用に溶け込みながらユーザーの認識や多くのエンドポイント防御を静かにすり抜ける、永続的かつ「正規に見える」リモートアクセスが実現してしまいます。
攻撃者はZoomアップデート、Adobeアップデート、業務文書の確認、そして「システムチェック」ユーティリティという少なくとも4つのソーシャルエンジニアリングのテーマを使い分け、被害者の網羅範囲を最大化しつつ一般的な企業のワークフローに合わせています。
いずれの経路をたどっても行き着く先は同じです。ScreenConnectクライアントが密かにインストールされ、攻撃者が管理する中継サーバーへビーコン通信を行い、明らかに悪意あるRATのトラフィックとしてではなく、標準的なゲストアクセスセッション（e=Access&y=Guest）を装って現れるのです。
使用されるツールチェーンは著しく多様化しています。初期の攻撃波では、サンドボックスや解析用VMを回避するために設計された、XOR暗号化されたペイロードと環境チェックを備える難読化されたVBScriptドロッパーが使われています。
後続の段階では、Windowsの防御機能を解体するバッチローダーや、配信前にMicrosoft Defenderを無力化するコンパイル済み.NET実行ファイルが投入されます。
洗練されたZoomをテーマにしたHTMLフィッシングページと、よりシンプルなAdobeをテーマにしたページは、初期アクセスをブラウザ上に移すことで攻撃範囲を広げており、DropboxやCloudflareトンネルといった信頼されたホスティングを裏付けに使っています。
いずれのサンプルにおいても、このキャンペーンは一貫してエンドポイント上での不可視性を最優先しています。VBScriptドロッパーはWMIのWin32_ProcessクラスとWin32_ProcessStartupクラスを悪用し、ShowWindow = 0の状態でプロセスを起動することで、すべての子プロセスが完全に非表示のまま動作するようにしています。
バッチインストーラーはウィンドウスタイルを抑制した状態でPowerShell経由で実行され、コンパイル済みローダーはネットワークに接続する前にP/Invokeを使って自身のコンソールウィンドウを即座に隠します。
いずれの経路でも、ScreenConnectは静かにインストールされます。ユーザーが従来のセットアップUIや警告ダイアログを目にすることはありません。
攻撃者は法科学的な痕跡の消去にも積極的です。バッチローダーは実行前にMark-of-the-Web（Zone.Identifier）の代替データストリームを取り除き、完了後にMSIインストーラーを削除し、TEMPパス以下をDefenderの除外対象に追加することで、一時的な痕跡がスキャンされにくくしています。
データ復旧サービス
Securonix Threat Researchによる「SMOKE#SCREEN」調査では、ConnectWise ScreenConnectを主要なリモートアクセス手段として悪用する複数波にわたる作戦の実態が明らかにされています。
ある攻撃チェーンでは、リモートファイルが「SystemCheck.msi」であるにもかかわらず、MSIはローカルに「WindowsExplorerSupport.msi」として保存されていました。これは、管理者がディレクトリを調べた際にペイロードを無害なWindowsサポートコンポーネントに見せかけるための命名手法です。
ソフトウェア更新への偽装がこの配信戦略の核心です。ファイル名やフィッシングコンテンツはZoom（zoom-update.vbs、ZoomUpdateInstaller.msi/pkg）、Adobe Reader/Flash Player（AdobeReader_Update.exe、偽のFlash更新ページ）、そして業務文書ビューア（RSKAdvGrpSupportingdocuments.vbs、DocumentReview.msi）になりすましています。
Zoomのフィッシングページは本物のブランディングを使い、緊急性を装った偽のバージョン番号（6.5.1）を表示し、2秒後にDropboxでホストされたダウンロードを自動的に開始するJavaScriptタイマーを備えています。さらに偽のプログレスバーまで用意されており、正規クライアントの更新であるかのような錯覚を完成させています。
攻撃者はこのキャンペーンの拠点として、207.174.0.143:8080にあるWsgiDAVベースのステージングサーバーを使用しており、ある時点ではこのサーバーが15個のペイロードを含むオープンディレクトリを公開していました。これは運用上の利便性と活発な開発を示す強力な兆候です。
同じホストはポート8041で主要なScreenConnect中継も稼働させており、単一のマシンがペイロードの配信と、侵害されたホストに対するコマンド＆コントロールの両方を担っていることになります。
MSIおよびEXEサンプルから中継設定の文字列を抽出することで、Securonixは3つの異なるScreenConnect中継クラスターを特定しました。207.174.0.143:8041（プライマリ）、142.202.191.225:8041/80（セカンダリ、ファイアウォール回避のためポート80へのフォールバックあり）、そしてblog.derrspecial-onlinedmin.live:8041（サードクラス、管理者ポータルを装う）です。
以前使われていた207.189.11.170とcrestmarkhq.comのインフラはすでにオフラインになっており、これはローテーションと「焼却」管理を行っていることを示し、能力が高く作戦保全に長けた攻撃者であることを裏付けています。
重要なのは、このキャンペーンがWindowsに限定されない点です。macOS向けパッケージであるZoomUpdateInstaller.pkgは、WindowsのMSIファイルと同じプライマリ中継に接続することが確認されており、意図的にクロスプラットフォームをカバーし、同じ偽Zoomアップデートのシナリオを使ってmacOSエンドポイントを侵害しようとする意図が確認されています。
Cloudflare Quick TunnelsとDropboxをペイロードのホスト先として利用することで、信頼性が高く許可されることの多いサービスの陰にダウンロードを隠し、検知をさらに困難にしています。
SMOKE#SCREENで特に注目すべき点の一つは、時間の経過とともに攻撃技術が目に見える形で進化していることです。初期のVBScriptドロッパーは、検知を逃れるために強力な難読化、環境依存のキー化、そしてPowerShell経由のC#インメモリコンパイルを採用していました。
ScreenConnect攻撃者、ウィンドウを隠す
その後のバッチローダーでは、9段階からなるDefender破壊シーケンスへとエスカレートしています。AMSIバイパス、UACの自動昇格、SmartScreenのレジストリ改ざん、広範なDefender除外設定（C:$$まで含む）、サービスの停止、そして自動起動の無効化です。これにより、ペイロード配信が失敗した場合でもエンドポイントの防御は恒久的に劣化したままになってしまいます。[1]
より新しいローダーの亜種は、あからさまなAV破壊から離れ、ステルス性と対EDRのタイミング調整へと軸足を移しています。
ステージングサーバー上でMemoryLoader.csがloader.csに置き換えられたことで、強引なDefender改ざんは取り除かれ、代わりにMSIインストールとサービス開始の間に3分間のコード化された遅延が導入されました。このコードには「BREAKS Elastic correlation（Elasticの相関分析を破壊する）」という明示的なコメントが付けられています。
同時に、ペイロードのハッシュ値とファイル名はセッションごとに積極的にローテーションされており、サンプリング期間全体を通じてハッシュベースの検知を無力化しています。
ステージングサーバーのファイル群の中には、初期アクセスの代替手段として機能する洗練されたHTMLフィッシングページも見つかっています。
ローダーの高度さにもかかわらず、最終的なペイロードは常に正規のConnectWise署名済みScreenConnectのClientSetup MSIであり、DigiCertにチェーンされたAuthenticode証明書や、ClientService.dllやWindowsClient.exeといった標準コンポーネントを備えています。
この「環境寄生型（living off the land）」の手法は、ScreenConnectおよびコード署名に対する企業の信頼を利用して多くのEDRのヒューリスティック閾値を回避するものであり、悪意はバイナリそのものではなく、もっぱら設定（中継エンドポイントやアクセスパラメータ）の中に潜んでいます。
インストールされると、エージェントは静かにサービスとして登録され、ゲストアクセスパラメータを使って攻撃者が管理する中継先へ接続を返します。これにより、正規のIT活動と見分けがつかない完全なリモートデスクトップおよびシステム管理機能が有効になります。
Red Canary、Sophos、そして独立系研究者による他の最新の調査結果も、この傾向と一致しています。すなわち、フィッシングを起点としたScreenConnectの展開、文書や更新プログラムに偽装したMSI、そしてコモディティ化されたRMMクライアントが高精度のRATへと転用される、という構図です。
防御側にとって、SMOKE#SCREENは、許可されていないRMMのインストールや設定変更を重大インシデントとして扱う必要性を改めて浮き彫りにしています。
推奨される対策としては、すべてのScreenConnectインスタンスを棚卸しして承認済みのITリストと照合すること、生のIPアドレスや未知のドメインに接続するScreenConnectクライアントにフラグを立てること、Defenderの改ざんやAMSIバイパスのパターンを監視することが挙げられます。
このキャンペーンはまた、SILENTCONNECT型のフィッシングローダーや、パーティー招待状・請求書を偽装した誘い文句によって署名済みのScreenConnectクライアントをRATとして静かに展開する手口を含む、より広範なScreenConnect悪用のトレンドの一部でもあります。
「2026 Agentic SOC Buyer’s Guide」を活用すべき理由とは？ 主要8プラットフォームを徹底比較 – 2026年版バイヤーズガイドをダウンロード
翻訳元: https://gbhackers.com/screenconnect-attackers-hide-windows/
