ハッカーが新たなScreenConnectキャンペーンでマルウェアを展開

脅威アクターが、複数のConnectWise ScreenConnect利用組織にまたがる数百台のエンドポイントを侵害する新たなキャンペーンを展開していると、サイバーセキュリティ企業のHuntressが報告しました。

攻撃が確認されたのは11月11日です。ハッカーはクラウドホスト型のScreenConnect管理パネルへの不正アクセスを悪用し、管理対象のエンドポイント上でコマンドを実行しました。

Huntressによると、このキャンペーンでは少なくとも6社のMSP（マネージドサービスプロバイダー）と、48組織にまたがる288台のホストが侵害されました。攻撃者は、侵害した288台すべてのホストを90分以内に攻撃しています。

攻撃者が実行したコマンドにより、不正なScreenConnectクライアントと、SCKitと呼ばれるマルウェアツールキットが展開されました。SCKitは、永続的なバックドアアクセスの確保、セッションCookieの傍受、自己複製が可能です。

SCKitは当初ScreenConnectのパネル経由で展開され、技術者が侵害されたエンドポイントに接続するのを待って、その技術者のワークステーションに感染します。続いて、技術者がアクセス権を持つ他のセッションの侵害を試み、他のパネルへと自らを拡散させます。

「ただし、確認されたインシデントですべての機能が観測されたわけではありません。一部の機能は、ペイロードの解析を通じて判明したものです」と、Huntressは説明しています。

攻撃の一環として、ハッカーはRMM+の脆弱性を悪用しました。RMM+は、ScreenConnectのセッションを管理するサードパーティ製の拡張機能で、共有アクセスキーを使ってScreenConnectの認証メカニズムを回避します。

ハッカーが悪用したとみられるのは、拡張機能のバージョン1.0.31および1.0.32に存在するバグです。アクセスキーが未設定の場合、既定値が空白になるため、攻撃者は空の値で認証を突破できます。

「当社の分析では、確認したRMM+の導入環境の大半は正規のものでした。多くは、あるプロジェクトのために追加され、そのまま残されていたものです。しかし、バージョン1.0.31と1.0.32には深刻な認証の欠陥がありました。管理者が拡張機能のアクセスキーを一度も設定していなければ、RMM+は空白のキーを受け入れてしまいます」とHuntressは述べています。

同社の調査では、コマンドは数分以内にエンドポイントへ到達していたことが判明しました。しかし、対応するログインの形跡はなく、確認されたログはRMM+に関連するものでした。

これを受けてConnectWiseは、約400のScreenConnect環境で、RMM+ファミリーの5つの拡張機能を無効化しました。対象は、Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link、RMM+ Password Linkです。

「これらが存在するだけで侵害が成立するわけではありません。ただし、これらの拡張機能にはリモートコマンドを実行できるAPIが含まれています。そのAPIへのアクセスは、パートナーがセットアップ時に設定するパスフレーズで保護されています」と、ConnectWiseは説明しています。

HuntressとConnectWiseの双方が、このキャンペーンに関連する侵害指標（IoC）を公開しました。両社は、オンプレミス版のScreenConnect環境でも、これらの拡張機能を無効化するよう組織に推奨しています。