IT管理ソフトウェア企業のConnectWiseは、複数のサイバーセキュリティ企業から、同社のScreenConnectツールを通じて50組織近くが侵害されたとの報告を受け、顧客環境への不正アクセスについて調査していると明らかにしました。
ConnectWiseは水曜日の夜遅く、この活動は顧客環境にインストールされた独立系サードパーティ製拡張機能の悪用に関連しているとの見方を示しました。問題のツール「RMM+」は、ConnectWise ScreenConnect向けの拡張機能です。外部の管理ツールがAPIを通じてリモートセッションを自動化・制御できるようになります。
同社は次のように述べています。「RMM+ファミリーに属する独立開発のサードパーティ製拡張機能が1つ以上インストールされているパートナー環境は、約400件に上ることを確認しました。ただし、拡張機能が存在するだけで侵害があったとは言えません」
「これらの拡張機能は、リモートコマンドを実行できるAPIを提供します。このAPIへのアクセスは、パートナーがセットアップ時に設定したパスフレーズで保護されています」
フロリダ州タンパに本社を置く同社は顧客に対し、攻撃者が追加のリモートアクセスソフトウェアを展開していたと説明しました。さらに、影響を受けたデバイスへの対話型接続中に、技術者のワークステーションが侵害された可能性もあるとしています。
ConnectWiseは、400の顧客環境でRMM+を無効化しました。オンプレミス環境の顧客については、同社側では無効化できないため、自ら無効化するよう呼びかけています。すべての顧客がRMM+の無効化を確認する必要があります。
ConnectWiseはまた、侵害の疑いがあるデバイスへのScreenConnect接続には注意するよう顧客に促しました。
同社は「拡張機能を無効化して認証情報をリセットするだけでは、不正なソフトウェアや永続化の仕組み、エンドポイント上ですでに確立されたアクセスを排除できない可能性があります」と指摘し、通常とは異なるサインインや、ログイン失敗の繰り返しに警戒するよう呼びかけました。
ConnectWiseは当初、悪意ある活動に関連する可能性のあるサードパーティ製拡張機能を5種類特定したと説明していました。しかしその後、原因はRMM+だったと突き止めました。
認証情報の侵害か
ConnectWiseが対応に動くきっかけとなった注意喚起は、セキュリティ企業のHuntressが公表した内容によるものです。Huntressは、48組織の288エンドポイントが90分以内に標的になったことを確認したとしています。Huntressのインシデント対応担当者は、複数のScreenConnectシステムでRMM+に関連するコマンドを発見しました。また、ConnectWiseがRMM+に加え、ほかの4つのサードパーティ製拡張機能も無効化したことを確認しています。
Huntressの広報担当者は次のように述べています。「Huntressは新たな脆弱性の証拠を確認していませんが、攻撃者がどのようにパネルへのアクセス権を得たのかは依然として不明です。現在のテレメトリーでは、認証情報の侵害、またはオペレーターセッションの乗っ取りによって初期アクセスを得た可能性が示唆されています。詳細が判明次第、Huntressの研究者が情報を更新します」
複数の攻撃で、攻撃者は侵害したシステムを使って永続的なバックドアを作成しました。技術者が侵害済みのエンドポイントに接続した際には、感染したエンドポイントを足がかりに、ネットワーク全体へマルウェアを拡散させていました。
ScreenConnectは、企業のIT基盤やエンドユーザーのシステムを運用するマネージドサービスプロバイダー（MSP）で広く使われています。
Huntressをはじめ複数の研究者は、今回の攻撃キャンペーンが、9月に発見されたConnectWiseの脆弱性「CVE-2026-84869」と関連している可能性があると述べています。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、この脆弱性が9月に悪用されているとして警告していました。
Blackpoint Cyberの研究者Sam Decker氏とNevan Beal氏はRecorded Future Newsの取材に対し、今回のScreenConnect攻撃で攻撃者が使ったツールキットをリバースエンジニアリングできたと説明しました。そのうえで、ツールキットはCVE-2026-84869の悪用を伴うと述べています。
両氏は、完全にパッチを適用したScreenConnectクライアントに対してツールキットを試し、パッチが有効であることを確認したと指摘しています。つまり、被害を受けたのはパッチ未適用の環境だった可能性が高いということです。
DeckerとBealの両氏は次のように付け加えました。「検証の結果、このエクスプロイトはCVE-2026-84869を標的としており、既存のパッチで確実に阻止できることを確認しました」
「ただし、このツールキットには、認証済みオペレーターセッションを乗っ取り、ScreenConnectの正規の管理機能を使って悪意あるコードを送り込む機能も含まれています。パッチは既知のエクスプロイトには対処できますが、オペレーターセッションが侵害された場合のリスクまでは排除できません。組織はこうしたセッションを保護し、影響の大きい管理操作には追加の安全対策を講じる必要があります」
ConnectWiseは近年、国家支援の攻撃者とサイバー犯罪者の双方から繰り返し攻撃を受けてきました。先月には、中国政府と連携するハッキンググループが自動化ツールを使い、ConnectWiseに対するサプライチェーン攻撃を実行したとMicrosoftが警告しています。
中国政府系のグループは、米国の企業や政府機関で広く使われていることから、2024年以降、ScreenConnectを繰り返し標的にしてきました。
翻訳元: https://therecord.media/connectwise-screenconnect-breaches-third-party-tool
