攻撃者は、ワームのような自己拡散機能を持つ悪意あるツールキット「SCKit」を、侵害したクラウドホスト型のConnectWise ScreenConnectパネル経由で展開しました。被害は48組織、少なくとも288のエンドポイントに及んでいます。
Huntressによると、この攻撃キャンペーンは2026年11月11日の17:47 UTC頃に始まり、確認された感染はすべて90分以内に発生しました。このうち約3分の1は、最初の10分間に集中しています。
攻撃者はScreenConnectのRunコマンド機能を悪用してSYSTEM権限でコマンドを実行し、不正なScreenConnectクライアントをインストールしたうえで、追加のペイロードを配置しました。
このツールキットには自己拡散のロジックが含まれています。ただしHuntressは、観測された展開は管理コンソールから発行されたコマンドによるものだと説明しており、自律的な拡散が確認されたわけではないとしています。
Huntressはその後、この活動をサードパーティ製拡張機能「RMM+」に関連づけました。バージョン1.0.31と1.0.32では、管理者がアクセスキーを設定していない場合に、空のアクセスキーが受け入れられていました。
この拡張機能は、ScreenConnectのアカウントやロール、多要素認証ではなく、共有キーでAPIリクエストを認証します。そのため、キーが未設定のままだと、初期値が空であることが認証バイパスにつながっていました。
調査したログには、対応するログイン記録がないまま、RMM+に関連するコマンドが記録されていました。
ConnectWiseは、予防措置として約400のパートナー環境で関連する5つの拡張機能を無効化しました。同社は、拡張機能をインストールしただけでは侵害を意味しないとし、初期アクセスの手法は調査中だと強調しています。
展開の流れでは、まず攻撃者が管理する MSI を C:\Windows\TEMP\sc.msi にサイレントインストールし、続いてBase64エンコードされたドロッパー sckit-run.bat を書き出します。このスクリプトが sckit-decoder.ps1 を取得し、マシンごとに暗号化されたツールキットをダウンロードします。
リクエストにはWindowsのシステムUUIDが含まれ、レスポンスヘッダーには展開に必要な暗号鍵、初期化ベクトル、ソルトが含まれていました。SCKitは、PowerShellスクリプト、バッチファイル、コマンドスクリプト、設定データなど、計16個のファイルで構成されています。
ローダーはホスト固有のスクリプトを復号し、ツールキットを C:\ProgramData\RelayTrap に展開します。その後、クリーンアップ用コンポーネントが、一時ディレクトリに残った作業用ファイルを削除します。
インストールスクリプトはMicrosoft Defenderの除外設定を追加し、別の不正なScreenConnectクライアントを展開します。SYSTEM権限で動作する TrapWatch.ps1 は、RelayTrap.cs をホスト固有の RelayTrap.exe にコンパイルし、TrapWatch という名前のスケジュールタスクで永続化を確立します。
正規のScreenConnectは停止されたうえで手動起動に変更され、攻撃者が管理するクライアントがその代わりを担う形になっていました。
このリレートラップは、感染したエンドポイントに接続する技術者を狙う仕組みです。接続から約2.5秒後にファイル転送を開始し、実行アクションを設定した Run-Lateral-Full.bat を取得します。
ToolboxRelayUploader.exe は WithUninstall.ps1 をShared Toolboxにアップロードし、到達可能なセッション全体に実行を一斉送信したのち、Toolboxのアイテムを削除する仕組みでした。
ただし、Huntressの調査では、エンドポイントから技術者へ、あるいは技術者からエンドポイントへの拡散に成功した例は確認されていません。回収したホストのログをすべて調べても、コンソールの乗っ取りはいずれも失敗していました。
防御側は、問題の拡張機能を無効化し、感染が疑われるエンドポイントを隔離してください。調査は、ScreenConnectの対話型セッションではなく、別のセキュリティツールで行う必要があります。
管理、認証、Runコマンド、Toolboxの各記録は保全してください。不正なクライアントと永続化の仕組みを削除し、公開されたセッションは信頼できるデバイスから失効させます。拡張機能を無効化しただけでは確立済みのアクセスは排除できないため、接続を復旧する前に、修復が完了したかどうかを確認することが重要です。
注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（[.]の使用など）しています。無害化を元に戻す場合は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内に限定してください。
ANY.RUNを導入し、脅威調査を効率化して手作業を減らしている16,000以上のSOCチームの仲間入りをしませんか。チームで試してみる
翻訳元: https://cyberpress.org/sckit-worm-connectwise-screenconnect/
