HuntressがMSPを狙うScreenConnect攻撃に警告

リモートサポート用コンソールが侵害されると、攻撃者は複数の顧客のデバイスに入り込めます。しかも、コンソールを保護した後も、不正アクセスの足がかりが残る恐れがあります。

Huntressは、クラウドでホストされたConnectWise ScreenConnectのパネルを悪用し、不正なリモートアクセス用クライアントと「SCKit」と呼ばれるツールキットをインストールした攻撃を調査しています。同社によると、11月11日に検知した活動により、自社の顧客環境で48組織、少なくとも288台のエンドポイントが影響を受けました。

マネージドサービスプロバイダー(MSP)にとって、当面の課題は管理者アカウントの保護にとどまりません。顧客のエンドポイントを調査する必要があり、感染が疑われるデバイスとはScreenConnectで対話型セッションを行わないよう、技術者に徹底する必要があります。

攻撃者はリモートサポートのコマンドで不正クライアントを展開

Huntressは 技術分析の中で、攻撃者がScreenConnectの「Run Command」機能を使い、SYSTEM権限で複数のエンドポイントにコマンドを一斉送信したと説明しています。確認された288台のホストはすべて90分以内に影響を受け、約3分の1は最初の10分以内に被害に遭いました。

これらのコマンドは、攻撃者が管理するScreenConnectクライアントとSCKitをインストールしました。研究者は、「TrapWatch」というスケジュールタスクと、C:\ProgramData\RelayTrap\のツールキット用ディレクトリも確認しています。

Huntressは、感染したエンドポイントから技術者のワークステーションへ、さらに技術者のScreenConnectセッションからアクセスできる別のエンドポイントへと拡散させる意図のコードを発見しました。ただし、どちらの拡散も成功した例は確認していません。調査した回収済みのホストログでは、コンソール乗っ取りの試みはすべて失敗していました。

この違いは重要です。顧客のエンドポイントへの展開は確認されましたが、技術者を経由した自動的な拡散が成功したとは確認されていません。

正規のリモートアクセスソフトウェアの悪用は、 偽のClawdbot VS Code拡張機能でも見られました。同様に、 DocuSignを装ったフィッシング攻撃でも、正規のリモート管理ツールがWindowsとmacOSのユーザーに配布されています。見慣れた製品名があっても、そのインストールが承認されたものだと言い切ることはできません。

ConnectWiseがサードパーティ製拡張機能5件を無効化

ConnectWiseは 11月12日のアドバイザリ更新で、初期評価では独立したサードパーティ製拡張機能が悪用された可能性があると説明しました。初期アクセスの手法と全容は調査中です。同社は、ConnectWiseのインフラが侵害された形跡や、ScreenConnect自体の脆弱性は確認されていないとしています。

予防措置として無効化の対象に挙げられた拡張機能は、次の5件です。

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

ConnectWiseは、記載された拡張機能を1つ以上導入しているパートナー環境を約400件特定し、対応可能な環境ではこれらの拡張機能を無効化しました。オンプレミスのパートナーは自身で無効化する必要があります。追加の指針が出るまで、再インストールや再有効化はしないでください。

同社によると、これらの拡張機能は、パートナーが設定したパスフレーズで保護されたリモートコマンドAPIを提供します。このAPIが侵入口だったかどうかは、調査担当者も確認できていません。約400の環境には拡張機能が存在していましたが、すべてが侵害されたと確認されたわけではありません。Huntressが報告した影響を受けたエンドポイント数や組織数とは、別に数える必要があります。

リモートアクセスを復旧する前にエンドポイントを調査

Huntressの インシデント対応手順は、影響を受けた顧客に対し、新規インスタンスや試用版インスタンスを含め、いかなるScreenConnectインスタンスからも感染ホストに接続しないよう警告しています。ホストを隔離すれば攻撃者のアクセスは遮断できますが、ツールキットは除去されません。 

Huntressは、エンドポイント検出・対応(EDR)のライブレスポンスか、別経路(アウトオブバンド)のコマンドラインツールを使って調査するよう推奨しています。感染が疑われるホストに接続した技術者のワークステーションも評価する必要があります。

対応担当者は、次の3つの領域を調べる必要があります。

ConnectWiseは、別のセキュリティツールの使用、ログの保全、ScreenConnectおよび関連するIDプロバイダーのセッションの失効、信頼できるデバイスからの認証情報のリセット、多要素認証の徹底を推奨しています。

調査は、管理側の記録とエンドポイント上の証拠の両面から組み立てます。Run Commandの履歴は展開の時間帯の特定に役立ち、エンドポイントのテレメトリーからは、その後にどのインストールが行われたかを確認できます。これらの結果は、承認済みの保守作業と照合してください。ScreenConnectのサービスをすべて悪意あるものと見なすべきではありません。

フィッシングキャンペーン全般でのRMMツール悪用が広がっていることからも、承認済みのリモートアクセス製品とその管理責任者を文書化しておく必要性は明らかです。今回のようなインシデントでは、その一覧が、想定外のクライアントを見つける際の基準になります。

MSPを利用している企業は、どの管理環境を確認したのか、自社のデバイスに不正なソフトウェアが導入されたか、そしてプロバイダーがクリーンアップをどう検証したのかについて、明確な説明を求めるべきです。拡張機能を無効化したという確認だけでは、問いの一部にしか答えたことになりません。

通常のサポートを再開する前に、再接続を承認する責任者を文書化し、次の証拠を求めてください。

• クリーンアップの前に、関連するログとエンドポイント上の証拠を保全したこと。
• 不正なリモートアクセス用クライアントと永続化の仕組みを除去したこと。
• 露出した可能性のあるセッションを失効させ、影響を受けた認証情報をリセットしたこと。
• フォローアップの確認で再感染が見つからなかったこと。

パスワードのリセット、拡張機能の無効化、エンドポイントのクリーンアップは、それぞれ侵入の異なる部分に対処するものです。管理アクティビティとエンドポイントの両方を引き続き監視し、調査担当者がアクセス経路と影響範囲を特定するのに合わせて、ベンダーの最新情報を確認してください。

関連記事: 信頼されたGoogleリンクの陰に、攻撃者が認証情報の窃取とScreenConnectのインストールを隠す手口では、不正なリモートアクセスが従業員のデバイスに到達する別の経路を解説しています。