サイバー犯罪者がScreenConnectを兵器化し、通常の接続中に他のScreenConnectシステムへ感染を広げる仕組みを作り上げていたことが判明しました。改造されたクライアントは新しいセッションを自動検知すると、標準搭載のファイル転送機能を使って悪意あるスクリプトを送り込み、接続先のエンドポイントで感染チェーンを開始します。まさにコンピュータワームさながらの挙動です。
初期感染ベクトル
Huntressのチームは8月下旬、互いに無関係な複数の組織にまたがってこの悪質な手口を発見しました。当初、いずれの侵害も人的な操作を必要としていました。あるケースでは、詐欺師が被害者を説得してWindowsのクイックアシストを起動させました。別のケースでは、フィッシングメールを通じて悪意あるScreenConnectペイロードが配布されていました。3つ目の被害者はGeek Squadの返金フォームを探していたところ、偽の遠隔操作クライアントを誤ってダウンロードしてしまいました。
インストールが完了すると、不正なScreenConnectの亜種はwscriptエンジンを介して4つの異なるスクリプトを実行しました。それぞれのファイル名は1.vbs、2.vbs、3.vbs、4.vbsという簡素なものでした。最初のスクリプトはシステムを綿密に調査し、ScreenConnectの有無を確認したうえでメモリ容量を評価し、さらにHuntress、CrowdStrike、SentinelOne、Sophos、Malwarebytesといったベンダーのセキュリティ製品を探索しました。
悪意あるペイロードの展開
その端末がさらなる悪用に適していると判断されると、続く段階で暗号化されたコンポーネントがダウンロードされ、そのホスト専用にペイロードの構成が調整されました。攻撃の種類によっては、攻撃者は隠密性の高いScreenConnectバックドア、権限昇格ツール、wstunnelの実装、そしてXMRig暗号資産マイナーを展開しました。さらに、これらのスクリプトはms-settingsハンドラーを介してユーザーアカウント制御(UAC)の回避を試み、Antimalware Scan Interface(AMSI)を妨害し、Microsoft Defenderの除外設定にユーザーディレクトリを追加し、Windowsのさまざまなネイティブセキュリティ機構を無効化しようとしました。
隠されたワーム拡散メカニズム
しかし、最も驚くべき要素は改造されたScreenConnectクライアント自体に潜んでいました。Huntressはソフトウェアの9つの異なるバージョンにまたがる改変済みビルドを特定しており、これらは新たなScreenConnect接続を常時監視するよう設計されていました。詳細は同社による不正なScreenConnectインストールに関する包括的なレポートにまとめられています。新しいホストセッションが確立された瞬間、侵害されたクライアントは統合ファイル転送システム内に4つのVBSファイルを登録し、実行アクションを設定したうえで、接続先の相手側にそれらを送り込みました。
これにより、通常の遠隔監視・管理(RMM)プラットフォームがワームさながらの拡散能力を獲得し、従来型のネットワークスキャンや脆弱性調査を完全に回避することが可能になりました。次の被害者となるのは、通常の管理業務の中で感染したクライアントに正規に接続してきた、まさにその端末そのものでした。この悪意あるクライアントは重複攻撃を防ぐためアクティブなセッションIDを記憶していましたが、切断されるとそのトークンを消去していました。そのため、再接続が発生すると感染プロセスが再び引き起こされる可能性がありました。
ConnectWiseの対応とセキュリティ勧告
9月3日、ConnectWiseはScreenConnect Remote Access Support and Access内のファイル転送に関する脆弱性を認め、公式のセキュリティ信頼性勧告で詳細を明らかにしました。この欠陥はクラウド版とオンプレミス版の両方の展開形態に影響します。開発チームが包括的なパッチを準備する一方、同社は管理者に対し、TransferFilesまたはTransferFilesInSessionの権限を通じて技術者のファイル転送権限を無効化するよう勧告しています。同社はこの問題に対してCVE識別子を割り当て、正式な修正プログラムをリリースすることも約束しています。とはいえ、ConnectWiseは、発見されたファイル転送の欠陥とHuntressが特定した実際の攻撃キャンペーンとの間に直接的な技術的関連があるかどうかについては、まだ公式に確認していません。
対策と防御戦略
技術解説の中で、Huntressの専門家はRunFilesおよびRanFilesのエントリについて、ゲストプロセスのコンテキストでスクリプトが実行された場合には極めて疑わしいものとして扱うよう推奨しています。さらに、侵害された端末は、確実にクリーンであることが検証されたインストールメディアから再構築することを強く勧めています。研究者らは、脅威アクターがこれらのファイル名を容易に変更できるため、初期スクリプトの命名規則のみに頼ることに警鐘を鳴らしています。
この結果として生まれた構図は、ITサポートデスクやマネージドサービスプロバイダー(MSP)にとって極めて深刻な脅威となります。膨大な数のクライアント端末に接続してファイルを転送するために明示的に設計されたユーティリティが、いったん侵害されると強力なマルウェア配布経路へと姿を変えてしまうのです。次の感染を引き起こすために、攻撃者はもはや人を騙して悪意あるペイロードを実行させる必要すらありません。次に正規のScreenConnectセッションが確立されるのを、ただ待ち構えるだけでよいのです。
翻訳元: https://meterpreter.org/screenconnect-worm-malware/
