- Securonixが「SMOKE#SCREEN」と呼ばれるキャンペーンを発見。偽のZoom/Adobeアップデートやビジネス文書を装い、武器化されたScreenConnectをユーザーにインストールさせる手口です
- 攻撃者は持続的なリモートアクセスを獲得し、防御機能を無効化したりDropboxやCloudflareといった信頼されたサービスを配信に悪用したりと、手口を進化させています
- 被害はWindowsとmacOSの両環境で確認されており、企業には公式サイトを通じたアップデートの確認と、予期しないインストールに対する従業員教育が呼びかけられています
セキュリティ専門家であるSecuronix Threat Researchは、正規のリモート監視管理（RMM）ソフトウェアをユーザーに騙してインストールさせる新たな悪質キャンペーンを発見しました。
「SMOKE#SCREEN」と名付けられたこのキャンペーンは、偽のZoomおよびAdobeアップデート通知に加え、文書レビュー依頼、システムメンテナンスツール、請求書といった多種多様な偽のビジネス関連文書を用いて、被害者に悪意あるファイルを実行させようとします。
この手口を見抜けずファイルを実行してしまった被害者は、結果的にConnectWise ScreenConnectをインストールすることになります。これは多くのITチームが同僚や顧客への技術サポートに利用している正規のRMMツールですが、セキュリティ製品の目をかいくぐりやすいことから、サイバー犯罪の世界で最も悪用されているソリューションの一つでもあります。
危険な進化
インストール後、攻撃者は侵害されたデバイスにリモートでアクセスできるようになり、データを窃取したり、追加の脅威をインストールしたり、組織のネットワークにさらに深く侵入したりする可能性があります。
一見すると、SMOKE#SCREENは「フィッシング→正規RMMのインストール→リモートアクセス」という、ごくありふれたキャンペーンのように見えます。しかし、Securonixが説明するように、このキャンペーンを特異なものにしているのは、時間の経過とともに手口が進化してきた点です。初期のバージョンは悪意ある活動を隠すことに主眼を置いていましたが、新しいバージョンではセキュリティ防御を無効化し、セキュリティソフトウェアによる検知を回避しようとしています。また攻撃者はファイルの配信にDropboxやCloudflareといった信頼されたサービスを利用しており、これにより活動のブロックがより困難になっています。
被害はWindowsとmacOSの両方のエコシステムで確認されているとのことです。
「SMOKE#SCREENキャンペーンは、武器化されたScreenConnectの展開を通じて被害者システムへの持続的かつ正規に見えるリモートアクセスを獲得するという単一の目的のもとに、多様なツールキットを構築してきた、有能かつ継続的にメンテナンスされ、急速に手口を適応させている脅威アクターの存在を示しています」と研究者たちは説明しています。
「複数のソーシャルエンジニアリングのテーマを使い分け、ペイロードのハッシュ値をローテーションさせ、複数プラットフォームに対応し、さらにScreenConnectの中継役も兼ねる稼働中のステージングサーバーを用意している点から、豊富なリソースを持ち、意図的な運用セキュリティ対策を講じているアクターであることがうかがえます」
侵害のリスクを最小限に抑えるため、企業はメールで届くソフトウェアアップデートの受信を無効化し、アップデート要求は公式サイトで確認し、予期しない添付ファイルやツールのインストールについて従業員に警戒するよう指導すべきです。
