セキュリティ
ConnectWiseは400の環境でサードパーティ製拡張機能を無効化しました。バグハンターらが、攻撃者がMFAを回避できる可能性のある認証の欠陥を発見したためです。
ハッカーが怪しいサードパーティ製のScreenConnect拡張機能を悪用し、48組織の少なくとも288台のマシンにマルウェアを送り込みました。これを受けてConnectWiseは、数百の顧客環境で一部のプラグインを無効化しています。
最初に警鐘を鳴らしたのはセキュリティ企業のHuntressで、水曜日に Redditに投稿し、クラウドホスト型のScreenConnectインスタンスを狙った攻撃キャンペーンが進行中だと警告しました。当時、同社のセキュリティオペレーションセンター（SOC）は、6つのマネージドサービスプロバイダー（MSP）の侵害と286台超のエンドポイントへの影響を確認しており、数はなお増え続けていました。
ConnectWiseは、人気のリモートサポートツールであるScreenConnectを2015年2月に買収しています。
Huntressが攻撃を確認したのは協定世界時（UTC）の17時47分ごろです。何者かがScreenConnectのリモートコマンド機能を使い、複数のITサービスプロバイダーが管理するマシンに不正なクライアントをインストールし始めました。288台のエンドポイントすべてが90分以内に被害を受け、およそ3分の1は最初の10分間で侵害されています。
Huntressは、ほかにも侵害されたMSPがある可能性があるとみています。攻撃者が被害者に連番を振っていたように見え、その番号から、同社が検知できていない先行する攻撃があったことがうかがえるためです。
攻撃者が展開したのは、SCKitと呼ばれる16ファイル構成のマルウェアツールキットです。正規の接続が遮断されても遠隔アクセスを維持できるよう、別のScreenConnectクライアントをインストールします。さらに、IT技術者や、その管理下にある他の顧客へ感染を広げるよう設計されたコードも含まれています。
Huntressはその後、この攻撃の原因を、サードパーティ製拡張機能「RMM+」に存在する認証の弱点の可能性があるとして突き止めました。RMM+は、技術者がコンソールを使わなくても、他の管理ツールからScreenConnect経由でコマンドを発行できるようにする拡張機能です。
この拡張機能のバージョン1.0.31と1.0.32には欠陥があり、アクセスキーを設定していない環境では空のキーでも受け付けてしまいます。RMM+はScreenConnectの通常のユーザーアカウントや認証制御とは独立して動作するため、攻撃者はMFAを突破しなくてもコマンドを実行できる可能性があります。
Huntressによると、この調査結果は攻撃中に調査員が確認した状況と一致しました。複数のScreenConnect環境で、対応するログインの形跡がないままマシンにコマンドが届いていたといいます。
研究者らはまた、攻撃がScreenConnectのバージョン26.6.6.9747と26.7.6.9783にも及んだことを確認しました。最新版を使っている管理者でも、必ずしも安全ではなかったことになります。
ConnectWiseはサードパーティ製拡張機能が関与した可能性を認めていますが、攻撃者が当初どのように侵入したのかについては断定を避けています。
同社はセキュリティアドバイザリで、一部のパートナー環境への不正アクセスを調査中であり、RMM+ファミリーの拡張機能を少なくとも1つ導入している約400件のインストールを特定したと説明しました。
同社は、RMM+、RMM Plus、Labtech Plusを含む5つの拡張機能を、リモートで可能な環境では無効化しました。自前でScreenConnectサーバーを運用している顧客にも、同様の対応を取るよう呼びかけています。
ConnectWiseは、400の環境を特定したのは拡張機能が導入されていたからであり、必ずしも侵害されたとは限らないと強調しています。
同社は次のように述べています。「現時点では、ConnectWiseのインフラが侵害された形跡や、ScreenConnect自体に脆弱性があるという証拠は見つかっていません」
SCKitにはもう一つ、悪質な仕掛けが組み込まれています。Huntressによると、このマルウェアは感染したコンピューターを、調査に派遣された技術者を陥れる罠に変えるよう設計されています。技術者がScreenConnect経由で接続すると、ツールキットはマルウェアを技術者のワークステーションに送り返し、認証Cookieを盗み、そのアクセス権を使って他のマシンにも感染を広げようとします。
これが成功すれば、攻撃者は侵害した1社の顧客から、同じITプロバイダーが管理する他の顧客へ侵入する経路を得かねません。ただしHuntressは、この攻撃手法が成功した例はまだ確認していないとしています。
研究者らは次のように書いています。「この拡散手法が成功した例は確認していません。これまでに調べた回収済みのホストログでは、コンソールの乗っ取り試行はすべて失敗していました」
Huntressはまた、マルウェアのC#コードの一部が大規模言語モデル（LLM）で生成された疑いがあるとみています。コードの意図を説明する異例なほど詳細なコメントが付いていることが根拠です。マルウェアの作者も、宿題には少し手助けが欲しいようです。
HuntressとConnectWiseはともに、感染が疑われるマシンをScreenConnect経由のリモート接続で調査しないよう管理者に求めています。そうすると、技術者自身のマシンを危険にさらす恐れがあるためです。
管理者には、影響を受けたマシンの調査に他のセキュリティツールを使い、不正なScreenConnectクライアントを探し、実行されたコマンドを確認するよう勧められています。残されたマルウェアも、マシンをオンラインに戻す前にすべて除去する必要があります。
HuntressはRedditで、隔離を解除して数分で再感染するマシンがあると警告しました。マルウェアが適切に除去されていなかったためです。
脆弱な拡張機能を無効にするだけで、被害が元に戻るとも限りません。ConnectWiseも「拡張機能の無効化と認証情報のリセットだけでは、不正なソフトウェアや永続化の仕組み、エンドポイント上にすでに確立されたアクセスを除去できない可能性があります」と注意を促しています。
攻撃者がすでに自前のリモートアクセスソフトウェアを仕込める状態にある以上、侵入口を塞ぐよりも、彼らを締め出すほうがはるかに難しいかもしれません。®
