この攻撃キャンペーンでは、偽のZoomアップデート、業務文書を装った添付ファイル、システムチェックツール、Adobeアップデートページなどを使ってユーザーを騙し、攻撃者が制御するScreenConnectエージェントをインストールさせています。
インストールが完了すると、攻撃者はリモートデスクトップのようなアクセス権を得る一方で、その動作は正規のIT管理業務と似通って見えます。
ScreenConnectは署名済みで信頼されたエンタープライズツールであるため、セキュリティ製品からは従来型のマルウェアよりもリスクが低いと判断されてしまう場合があります。
このキャンペーンでは、VBScriptファイル、バッチスクリプト、コンパイル済み.NETローダー、悪意のあるHTMLページ、Dropboxリンク、Cloudflareトンネルなど、複数の配布手法が使われています。
研究者たちは、この一連の活動を207.174.0.143:8080にあるWsgiDAVステージングサーバーと関連付けました。このサーバーは調査中、オープンディレクトリ一覧を通じてペイロードファイルを外部に公開していました。
同じサーバーはポート8041でScreenConnectのリレーもホストしていました。これにより攻撃者は、悪意のあるインストーラーの配布と、感染デバイスへのリモートアクセスの維持を、単一のインフラ拠点から同時に行うことができました。
初期のSMOKE#SCREENの検体では、Zoomのアップデートを装った難読化VBScriptドロッパーが使われていました。
あるスクリプトは利用可能なシステムメモリを確認し、Wireshark、Process Monitor、VMware Tools、VirtualBoxのサービスなど、マルウェア解析ツールに関連するプロセスを検索していました。
被害者のマシンがサンドボックスではないと判断した場合、スクリプトはPowerShellコマンドを復号して実行します。
このコマンドはC#コードをダウンロードし、メモリ上でコンパイルした上で、それを使ってScreenConnectのMSIパッケージを可視ウィンドウを表示することなく取得・インストールします。
2つ目のVBScriptは、よりシンプルな手法を採用していました。業務を補助する文書になりすまし、Windows Management Instrumentationを通じて隠しプロセスを生成します。
短い遅延の後、リモートアクセスソフトウェアを密かにインストールします。その後のバージョンは、はるかに攻撃的な性質を帯びるようになりました。
SystemCheckと呼ばれるファイルは、バッチベースのローダーを使用し、Antimalware Scan Interfaceの回避、権限昇格の要求、SmartScreen保護機能の弱体化、Microsoft Defenderの除外設定の追加、Mark-of-the-Web(マーク・オブ・ザ・ウェブ)識別子の削除、ペイロードの密かなインストールを試みていました。
MemoryLoader.csとして特定された最も深刻なローダーは、ScreenConnectのインストーラーをダウンロードする前に、Defenderの無効化または弱体化を試みていました。
報告によれば、その動作にはWinDefendサービスの停止、自動起動の無効化、そしてC:\ドライブ全体をDefenderの除外パスとして追加することが含まれていました。
たとえマルウェアのダウンロードが失敗したとしても、こうした変更によってデバイスの保護レベルが大幅に低下しかねないと、Securonixは述べています。
研究者たちは後に、戦術の別の変化も観測しています。新しいloader.csでは、Defenderを無効化する分かりやすい挙動が削除され、代わりにScreenConnectサービスを起動するまでに3分間の遅延を設けるようになりました。
コードのコメントには、この遅延が「Elasticの相関分析を破壊する(Breaks Elastic correlation)」ことを意図していると記されており、攻撃者がエンドポイント検知ロジックを回避する手法を積極的に検証していたことがうかがえます。
ANY.RUNのブラウザ内データ検査機能で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/screenconnect-backdoor-threat-emerges/
