不正なScreenConnectクライアントがワーム的に拡散、接続先Windowsシステムへマルウェアを展開

悪意あるScreenConnectキャンペーンが確認されました。攻撃者に対する遠隔操作を提供するだけでなく、改変されたクライアントが新規に接続してきたWindowsエンドポイントに対して、複数段階から成るVBScriptマルウェアチェーンを自動的に送り込む仕組みが組み込まれていました。

展開後、これらのクライアントはwscript.exeを繰り返し起動し、ScreenConnect関連の一時保存場所から1.vbs、2.vbs、3.vbs、4.vbsという4つのスクリプトを実行していました。

この挙動は正規のScreenConnect導入としては極めて異常であり、エンドポイントを調査する上で明確な手がかりとなります。

Huntressはこの活動を、複数の初期侵入シナリオと関連付けています。偽のQuick Assistサポートを装ったやり取り、フィッシングによって配布されたScreenConnect.ClientSetup.msiインストーラー、そしてGeek Squadの返金を装った偽の検索結果から被害者を誘導し、不正なScreenConnect.Client.exeを起動させる手口などです。

あるケースでは、クライアントは45.13.237[.]190に接続していました。他に確認されたインフラとしては、131.123.40[.]98:8041、15.204.185[.]204、borertors92.anondns[.]netが挙げられます。

影響を受けたエンドポイント上でUltraViewerをはじめとする追加の遠隔監視・管理ツールが確認されていることから、攻撃者はアクセスを維持し対応を複雑化させる目的で、正規の遠隔操作ソフトウェアを何重にも重ねて利用しているとみられます。

このVBScriptチェーンは、侵害されたホストの情報を収集した上で、その環境に合わせたペイロードを選択・復号します。

1.vbsは、%TEMP%\value.txtに3ビットの状態値を作成し、既存のScreenConnectインストール状況、エンドポイントセキュリティ製品の有無、利用可能なRAM容量を確認します。

既存のScreenConnectクライアントを検出した場合は実行を中止する一方、メモリ量のチェックは、リソースの少ない解析用仮想マシンを回避することを狙ったものとみられます。

このスクリプトは、Huntress、Cisco AMP、CrowdStrike、SentinelOne、Sophos、Malwarebytesなど、各種セキュリティ製品に関連するサービスを検索します。

Microsoftセキュリティアップデート

Microsoft Defenderのみで保護されているシステムは、サードパーティ製のEDR(エンドポイント検知・対応)ツールを導入しているシステムとは異なるペイロード経路を受け取る可能性があります。

続いて2.vbsは、Dropboxでホストされている、Base64エンコードとXOR難読化が施された設定ファイルをダウンロードし、復号結果を%TEMP%\map.txtとして保存します。

このファイルは、状態値を暗号化されたペイロードのURLとAESキーに対応付けるマップとなっています。3.vbsはこの設定を読み込み、該当する暗号化アーカイブを取得してout.encとして保存します。

Huntressは3種類の異なる結末を確認しています。ユーザー権限のScreenConnectバックドア、永続化と権限昇格ツールを含むアクセスパッケージ、そしてトンネリングと暗号資産マイニングのコンポーネントを組み合わせたパッケージです。

最後に4.vbsが、実行ポリシーを回避する形で%TEMP%\runner.ps1を書き込み、起動します。

このPowerShellローダーは、AES-CBCを用いてout.encを復号し、ZIPアーカイブをユーザープロファイルに展開したうえでPyTorchFix.ps1を実行し、スクリプトホストのプロセスを終了させ、ステージング用の痕跡を削除します。

Huntressの研究者らによると、8月下旬に無関係な複数の組織で検知されたこの一連のインシデントは、ユーザーをだまして攻撃者が管理するConnectWise ScreenConnectクライアントをインストールさせるソーシャルエンジニアリングの誘い文句から始まっていました。

繰り返し確認された永続化の痕跡は、WindowsServiceHostというユーザーのRunキーで、被害者のAppDataディレクトリ内にあるWindowsServiceHost.vbsを指していました。調査担当者は、少なくとも1件のインシデントで、これに関連するWindowsServiceHost.batファイルも確認しています。

不正なScreenConnectクライアント

最も重要な発見は、Huntressが回収した改変済みScreenConnectクライアントに組み込まれていた仕組みです。アクセス系のペイロードを展開する経路では、マルウェアが1.vbsから4.vbsまでをC:\Users\Public\Libraries\Default\Lib\Lib1にコピーします。

トロイの木馬化されたクライアントは、ScreenConnectのホストセッション一覧を監視し、新規に接続してきたホストを特定すると、ScreenConnectの仮想ファイル転送機能を通じて4つのファイルを転送し、接続先にそれらを実行するよう指示します。

つまり、新たに接続したシステムは、侵害されたScreenConnectクライアントに接続するだけで、同じ多段階ローダーを受け取ってしまう可能性があるのです。

このインプラントは、アクティブなセッションを繰り返し標的にしないよう接続IDを追跡していますが、接続が切れると識別子を削除してしまうため、そのホストが再接続した場合には再度感染を試みられる余地が残ります。

この仕組みにより、ScreenConnectは初期侵入のためのツールから、接続されたWindowsシステム間を伝播する経路へと役割を変えてしまいます。

回収されたアクセスパッケージには、乗っ取ったms-settings:プロトコルハンドラーとComputerDefaults.exeを利用したUACバイパスの仕組みが含まれているとされています。

その権限昇格されたPowerShellコードは、AMSIスキャンの無効化、Microsoft Defenderの除外設定へのC:\Usersの追加、電源設定の変更、隠蔽されたScreenConnectクライアントのインストール、そのアンインストール項目の削除、Windowsサービスへのアクセス制限などを試みます。

別の系統では、Defenderのレポート機能、通知機能、Hypervisor-Protected Code Integrityを無効化できる場合があります。

Huntressはさらに、Themes.exeを装ったwstunnelと、SearchIndex.exeに名称変更されたXMRigのクリプトマイナーを確認しました。

このパッケージには、低レベルでのシステムアクセスを助長する目的で悪用されることが多い、脆弱性のあるWinRing0ドライバーも含まれています。

類似のScreenConnectキャンペーンでは、署名済みまたは正規の遠隔管理ソフトウェアが、マルウェア配布や持続的アクセスの手段として繰り返し悪用されてきました。

防御側は、ScreenConnectの監査ログのうち、RunFilesまたはRanFilesにProcess: Guestによって1.vbs、2.vbs、3.vbs、4.vbsが実行されたと表示されている項目を、直ちに調査すべきです。

セキュリティチームはまた、ScreenConnect.WindowsClient.exeがwscript.exeを起動していないか、WindowsServiceHostというRunキーが存在しないか、ユーザーのAppData配下にWindowsServiceHost.vbsがないか、そして承認されていない外部インフラと通信する不審なScreenConnectクライアントがないかを調査する必要があります。

Microsoftセキュリティアップデート

各組織は、承認済みの遠隔管理ツールを棚卸しし、未承認のScreenConnectおよびUltraViewerのインストールを削除したうえで、影響を受けたホストを隔離し、関連するクライアントのバイナリとScreenConnectのログを保全し、影響を受けたエンドポイントで使用されていた認証情報をローテーションすべきです。

Huntressは、この活動を継続的に監視しており、調査を進めながらConnectWiseとも連携していると述べています。

侵害指標(IOC)

注: IPアドレスおよびドメインは、意図せぬ名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻すのは、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

★ 7段階のメトリクス連動型AI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。