フィッシング攻撃者が、正規のエンドポイント管理プラットフォーム「Faronics Deploy」を悪用し、被害者のコンピューターに対するリモート管理権限を取得したうえで、リモートサポートソフトウェア「ScreenConnect」をインストールする手口が確認されています。
7月21日から8月20日にかけて観測された活動では、請求書や税務書類、その他の業務文書に偽装したメールを通じて、Faronicsをテーマにした偽メッセージが457件を超えるエンドポイントに送りつけられました。
Faronics Deployは、IT管理者がコンピューターをリモートで登録・管理し、ソフトウェアの配布やスクリプトの実行を行えるクラウドベースのエンドポイント管理プラットフォームです。
マネージド検知対応(MDR)企業のHuntressの研究者によると、メールに埋め込まれた悪質なリンクは、潜在的な標的をプロファイリングし、悪意あるダウンロードの流れへと誘導するウェブサイトにつながります。
解析環境からこのサイトにアクセスした場合は、エラーメッセージを表示するなどのおとり用ルーチンが作動する仕組みになっています。
Huntressによると、被害者候補はAdobeの文書やリーダーアプリ、プラグインの更新プログラムに見せかけた、正規に署名されたFaronics Deployインストーラーのダウンロードと実行を促されます。
多くの場合「Adobe.exe」という名前で配布されるこのFaronicsインストーラーを被害者が実行すると、そのコンピューターは攻撃者が管理するFaronicsのデプロイメントに登録されてしまいます。
その後、攻撃者はFaronicsのリモート配布機能を利用し、被害者側の追加操作なしに登録済みコンピューター上でPowerShellスクリプトを実行します。
これらのスクリプトは、攻撃者のインフラやGitHubなどの外部サイトから追加のツールをダウンロードし、最終的には別の正規リモートアクセスツールであるConnectWise ScreenConnectをインストールします。
「配布方法はスクリプトによって異なり、curlやmshtaを使って追加コンテンツを取得する例が確認されている一方、msiexecを使って攻撃者が管理するインフラ上でホストされているペイロードをインストールする例も見られます」とHuntressは述べています。
「これらのスクリプトは続けてScreenConnectのインストールに使われ、侵害されたエンドポイント上に追加のリモートアクセス経路を確立します」
ScreenConnectは、Faronicsとは独立した追加のリモートアクセス経路を攻撃者に提供するもので、対話的な操作により適した実践的なリモート制御手段となるだけでなく、悪意あるFaronicsのデプロイメントが発見・停止されたり、防御側がそのエージェントを削除したりした場合の予備手段としても機能します。
Huntressは8月5日にこの調査結果をFaronicsに通知し、同社は確認された悪質な活動を認めたうえで、追加の不正利用対策を実施することで対抗しました。
さらにFaronicsは、被害を受けた組織に対して侵害の可能性を通知するため連絡を取っています。
Huntressによると、8月21日以降、この悪質な活動は大幅に減少しており、Faronicsの対応が効果を上げたことを示しています。
Huntressは管理者に対し、”C:\ProgramData\Faronics\Logs\”の場所にあるScriptRunner.logファイルを確認するよう推奨しています。このファイルには、リモートで実行されたスクリプトの名前やダウンロードURLが記録されている場合があります。
同社によると、Faronicsの設定リクエストに含まれるckパラメータも侵害の指標となります。これは関連する顧客のデプロイメントを識別するもので、侵害されたエンドポイントや悪用されたアカウントを特定する手がかりになります。
管理者は、通常は導入されていないはずの場所にScreenConnectがインストールされていないかどうかも確認すべきです。
