信頼されたITツールを悪用、46カ国に広がるRMMフィッシングキャンペーン

攻撃者たちは、正規のITサポートソフトウェアをリモートアクセスの経路として悪用するようになっています。RMMツールは管理者やサービスプロバイダーに広く利用されているため、悪意ある活動が通常のIT運用に紛れ込んでしまう恐れがあります。

ANY.RUNのセキュリティ研究者が新たに文書化したRMMフィッシングキャンペーンは、46カ国にわたって確認されており、観測された活動の約45%が米国に関連しているとのことです。この攻撃は、偽の税務書類、請求書、その他ビジネスを装った文書を使って被害者を誘導し、正規のリモート監視・管理(RMM)ソフトウェアをインストールさせるものです。

ANY.RUNが8月25日に公開した調査では、活動を2026年1月まで遡って追跡し、2月5日から7月29日までの間に240のホストにまたがる425件のフィッシングキットURLを特定しました。これらのホストのうち225件、割合にして94%は、わずか1日しか稼働していませんでした。同様の悪用はDocuSignを装い、WindowsおよびmacOS向けに正規のRMMツールを配布するフィッシングキャンペーンでも確認されており、攻撃者が身近なビジネスワークフローを利用して信頼された管理ソフトウェアを送り込む手口が浮き彫りになっています。

キャンペーンがリモートアクセスを獲得する手口

今回の誘導文書は、税務当局、社会保障関連の通知、Adobe文書、請求書、配送通知、DocuSignファイルなどを装っています。一部の攻撃では、パスワード保護されたZIPアーカイブが使われ、その中に含まれるVBSスクリプトがPowerShellを起動して正規のRMMソフトウェアをダウンロードします。

ANY.RUNは、単一の標準的なペイロードではなく、複数のリモート管理製品が使われていることを確認しています。したがって防御側は、通常それらのツールが使用されていないシステムにおける予期しないRMMの実行、不審なスクリプト実行、外部への通信、リモートセッションに注意を払う必要があります。

MITRE ATT&CKでは、この挙動をRemote Desktop Software、T1219.002として分類しており、攻撃者が正規のデスクトップサポートアプリケーションを対話的なコマンド&コントロールに利用するケースを対象としています。

CISAは、2025年6月12日付のSimpleHelpに関する勧告で、RMMインフラへの別の侵入経路を明らかにしています。同機関によれば、ランサムウェア攻撃者は、公共料金請求ソフトウェアプロバイダーが利用していた未パッチのSimpleHelp環境でCVE-2024-57727を悪用した可能性が高く、その影響は下流の顧客にも及んだとのことです。脆弱性の影響を受けるのはSimpleHelpバージョン5.5.7以前です。

SimpleHelpの事例はフィッシングではなく脆弱性の悪用によるものでしたが、いずれの経路も攻撃者にリモート管理者権限を与える可能性があります。脆弱性が未パッチのまま放置された場合、他のRMMプラットフォームも同様のリスクにさらされます。5月に開示されたConnectWise Automateの脆弱性では、影響を受けるオンプレミス環境において整合性チェックの回避とリモートコード実行が可能になるとされています。

RMMの露出を減らし、検知を強化するには

CISA、NSA、MS-ISACは、正規のリモート管理ソフトウェアを配布するフィッシング攻撃を確認した上で、悪意あるRMM利用について以前から警告を発しています。脆弱な認証情報や外部に露出したリモートサービスは、依然として攻撃者に足がかりを与え続けており、RMMのガバナンスは、より広範なアクセス制御の課題の一部と位置付けられます。

組織は、多層的な対策によって露出を減らすことができます。

• 承認済みRMM製品、MSP接続、サードパーティアクセス、組み込みベンダーツールの一覧管理
• 脆弱なRMMシステムの迅速なパッチ適用、侵害の可能性があるサーバーの隔離、不要なインターネット露出の削除
• アプリケーションのアローリストによる承認済みリモートアクセスソフトウェアのみの許可、不要なツールの無効化
• 承認済みリモートアクセスに対する、VPNや仮想デスクトップ基盤といった管理された経路の使用義務化
• 予期しないRMM実行、不審なPowerShell活動、外部へのビーコン通信、新規リモートセッション、永続化の兆候の監視
• エンドポイントや管理プラットフォームが侵害された場合の横方向の移動を制限するためのネットワークセグメント化
• 隔離、アクセス権の失効、証拠保全、永続化の調査、クリーンな復旧を含むRMM悪用シナリオでのインシデント対応計画の検証

MITREのリモートデスクトップ検知ガイダンスでは、RMMの実行と予期しない外部へのビーコン通信やリモートセッションの確立を関連付けて分析することが推奨されています。

運用上の課題は、単なる検知ではなく認可のあり方にあります。社内IT部門、MSP、ベンダーにまたがって複数のRMMプラットフォームの利用を許可している企業では、正規のリモートアクセス活動が増え、セキュリティチームがそれを攻撃者の挙動と区別するのがより難しくなります。不要なRMMの重複利用を減らし、各プラットフォームを誰が利用できるかを明文化しておくことで、インシデント発生前にこの検知のギャップを狭めることができます。

攻撃者は、防御側が個々のブロックリストを維持するよりも速いペースでドメインやリモートアクセス製品を切り替えることができます。正確な資産管理、挙動ベースの監視、セグメント化、そして検証済みの対応手順は、悪意あるインストールと侵害された管理インフラの両方に対して、より持続的な防御策となります。

関連記事: フィッシングキャンペーンは、信頼されたサービスや短命のインフラをますます悪用するようになっています。詳しくは、セッショントークンを狙いマルウェアを配布する攻撃に関する記事をご覧ください。