Huntressの研究者は、本物そっくりの偽ブラウザウィンドウと正規のリモート管理ソフトウェアを組み合わせ、被害者のデバイスへの永続的なアクセスを確立する2件のフィッシング攻撃を発見しました。
いずれの事案も8月に確認されたもので、攻撃者が制御するウェブサイトへ誘導するフィッシングメッセージから始まりました。攻撃者はその後、ブラウザ・イン・ザ・ブラウザ(BiTB)という手法を使って正規のAdobeのウェブページに見せかけたページを作成し、被害者にAdobe Readerのアップデートを装った悪意あるソフトウェアをダウンロードさせました。
攻撃者は従来型のマルウェアを展開する代わりに、正規のリモート監視・管理(RMM)ソフトウェアであるScreenConnectの不正インスタンスをインストールし、侵害されたエンドポイントへの継続的なリモートアクセスを確保しました。
偽ブラウザによりフィッシングの見破りが困難に
BiTB攻撃は、HTML、CSS、JavaScriptを使ってウェブページ内に偽のブラウザウィンドウを作り出します。このウィンドウはアドレスバー、鍵マーク、正規に見えるURLなど、見慣れた要素を再現できるため、ウェブアドレスを確認するといった従来のアドバイスが効果を発揮しにくくなっています。
最初の攻撃は8月25日に検知されたもので、被害者はフィッシングメールのリンクをクリックし、偽のCAPTCHAページに誘導されました。その後、ぼかしのかかった文書が表示され、これを閲覧するにはAdobe PDF Readerをダウンロードする必要があると告げられました。
偽のブラウザページには、Adobeの正規アドレスであるget.adobe.comが表示されているように見えました。しかし、Readerのインストーラーとされていたものは実際にはScreenConnectでした。
インストール後、攻撃者は2つの不正なScreenConnectクライアントを展開し、アクセスを維持するための冗長な経路を確保しました。その後、画面上の活動を隠すために設計された防御回避ツールHideCursor.exeを実行しました。Huntressは攻撃がそれ以上進行する前に介入しました。
2件目の攻撃も同じ手口
Huntressは8月31日、同じAdobe Readerを餌にした別の事案を確認しました。
今回は、被害者がRingCentralを基盤とする正規のコミュニケーションサービスであるAT&T Office@Hand経由で送られてきた悪意あるリンクを操作してしまいました。攻撃者は今回もScreenConnectをAdobe Readerのアップデートに偽装し、2つの不正インスタンスをインストールしました。
2つ目のScreenConnectセッションは、別の防御回避用バイナリHideUL.exeを実行するために使われました。Microsoft Defenderはこの活動の一部を検知しましたが、不正なScreenConnectクライアントはHuntressが攻撃を停止させる前にインストールを完了させてしまいました。
正規ツールは依然として攻撃者にとって魅力的な標的
これらの攻撃は、脅威アクターが見慣れたフィッシング手法と信頼されているソフトウェアを組み合わせることで、悪意ある活動を見破りにくくできることを示しています。
RMMの悪用は拡大を続ける問題です。Huntressの2026年サイバー脅威レポートによると、RMMの悪用は前年比で277%増加し、同社が調査したインシデントの4分の1近くに関与していたことが判明しました。
Huntressは、組織に対してリモート管理ツールをインストールできる人員の制限、承認済みRMMソフトウェアの一覧管理、新規または不正なScreenConnectクライアントの監視を推奨しています。また、ウェブページが正規のアドレスを表示しているように見える場合でも、従業員は予期しないソフトウェアのアップデートやファイル閲覧の promptに対して警戒すべきだとしています。
詳しい調査内容はこちら をご覧ください。
