脅威アクターがConnectWise ScreenConnectやMicrosoft Quick Assistといった正規のリモート管理ツールを悪用し、Windowsデバイスに永続的なバックドアをインストールしていることが分かりました。
Huntressの研究者らは、8月下旬にソーシャルエンジニアリングの手口、不正なScreenConnectクライアント、VBScriptペイロード、そしてエンドポイント防御を弱体化させようとする試みが絡んだ複数のインシデントを確認しました。
これらのキャンペーンは互いに無関係な組織を狙ったものでしたが、いずれも共通のパターンをたどっていました。被害者はだまされてリモートアクセスを許可したり、悪意のあるScreenConnectインストーラーをダウンロードしたりしていました。
あるケースでは、攻撃者がテクニカルサポート担当者を装い、被害者を説得してMicrosoft Quick Assistを開かせ、アクセスコードを共有させていました。別のインシデントはおそらくフィッシングから始まったとみられ、3件目では偽のGeek Squad返金詐欺の手口が使われていました。
アクセス権を得た攻撃者は、コマンド&コントロール(C2)インフラに接続する不正なScreenConnectクライアントをインストールしていました。
観測されたIPアドレスには45.13.237[.]190、131.123.40[.]98、15.204.185[.]204が含まれていました。また、あるひとつの環境ではUltraViewerというリモートデスクトップソフトウェアの使用も確認されています。
不正なScreenConnectクライアントはWindows Script Host(wscript.exe)を起動し、1.vbs、2.vbs、3.vbs、4.vbsという名前の4つのVBScriptファイルを実行していました。
これらのスクリプトは、デバイスをプロファイリングし、暗号化されたペイロードをダウンロードして復号し、永続性を確立するよう設計された段階的なローダーを構成していました。
最初のスクリプトはScreenConnectが既にインストールされているかどうかを確認し、CrowdStrike、SentinelOne、Sophos、Malwarebytes、Cisco AMP、Huntressといったセキュリティツールを特定し、デバイスの利用可能なRAM容量を確認していました。
このプロファイリングにより、攻撃者は標的システムに適したペイロードを選択でき、さらに解析環境の検知を回避できた可能性があります。
2つ目のスクリプトはDropboxからmap.txtというファイルをダウンロードしてデコードしていました。このファイルには、後続段階のペイロードへのリンクと復号キーが含まれていました。
3つ目のスクリプトは被害者のシステムプロファイルに基づいてペイロードを選択し、暗号化されたファイルとしてダウンロードしていました。
最後に、4.vbsはrunner.ps1という名前のPowerShellスクリプトを作成し、実行ポリシーをバイパスして起動、最終的なペイロードを復号していました。
その後、この攻撃は紛らわしいWindows関連のディレクトリにファイルを保存し、追加のPowerShellスクリプトを実行、スクリプトホストのプロセスを終了させ、フォレンジック証拠を減らすためにステージングファイルを削除していました。
攻撃者はWindowsServiceHostという名前のレジストリRunキーを作成し、被害者がログインするたびにユーザーのAppDataフォルダからWindowsServiceHost.vbsを起動するようにしていました。
これにより、最初のScreenConnectセッションが終了した後も、攻撃者は永続的な足がかりを維持できます。
回収されたペイロードのひとつは、ComputerDefaults.exeを使ったUACバイパスを試み、セキュリティ保護を無効化またはバイパスし、C:\UsersをMicrosoft Defenderの除外対象に追加した上で、隠蔽されたScreenConnectクライアントをインストールしていました。
このマルウェアはさらにアンインストール情報を削除し、悪意のあるサービスへのアクセスを制限していたとHuntressは述べています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェング処理(例: [.])されています。再ファング処理は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/screenconnect-quick-assist-backdoors/
