セキュリティ企業Huntressの研究者によると、侵入者はクラウド上でホストされた複数のScreenConnect管理パネルへのアクセス権を悪用し、水曜日に管理対象のエンドポイント群へコマンドを送り込みました。その結果、48組織の少なくとも288台のコンピューターに、攻撃者が管理するリモート管理ソフトウェアのコピーがインストールされました。同社によると、約3分の1のマシンは最初の10分以内に、すべてのマシンは約90分以内に侵害されたといいます。
ScreenConnectを開発するConnectWiseは、一部のパートナー企業のScreenConnect環境で不正アクセスがあったとの報告を受け、調査を進めていると明らかにしました。同社は、対応可能な約400のパートナー環境で、独立系の開発者が作成した5つの拡張機能を無効化しました。一方で、「ConnectWiseのインフラが侵害された形跡や、ScreenConnect自体の脆弱性は確認されていない」としています。
同社のアドバイザリーは、「初期評価では、パートナー環境にインストールされた独立系のサードパーティ製拡張機能を、攻撃者が悪用した可能性があります」と説明しています。
Huntressは、この攻撃が無効化された拡張機能の1つである「RMM+」に起因すると突き止めました。RMM+は、ユーザーがコンソールを操作しなくても、他のツールからScreenConnectのセッションを管理できるようにする拡張機能です。Huntressによると、この拡張機能は「ScreenConnectのユーザーアカウント、ロール、多要素認証（MFA）を迂回」します。プラットフォーム本来の多要素認証ではなく、共有のアクセスキーで認証する仕組みだといいます。
Huntressは、バージョン1.0.31と1.0.32では「このキーの初期値が空欄だったため、認証チェックが空の値を拒否せず、キーが未設定のままでも呼び出し元がチェックを通過できた」と説明しています。同社が調べた導入事例の大半は正規のものとみられ、「多くはプロジェクトのために追加され、そのまま放置されていた」といいます。
Huntressが「SCKit」と呼ぶこのマルウェアは、不正なScreenConnectクライアントをインストールし、正規のクライアントを停止させたうえで、攻撃者のコピーをその代わりに配置しました。正規クライアント自身のコードライブラリを再利用するため、マシンは「見た目には正常なまま」です。
このキットには、ユーザーのセッションCookieを盗み、それをパネルに再送して他の顧客のシステムへ到達しようとするコードも含まれていました。ただしHuntressは、この試みは「これまでに確認した、回収済みのホストのログではいずれも失敗している」と述べています。
今回の事案は、Huntressが追跡を始めた9月のワーム型の攻撃活動に続くものです。この時、ConnectWiseはScreenConnectのファイル転送に関する脆弱性CVE-2026-84869（CVSSスケールで10点満点中9.9）に対するセキュリティアップデートを公開したと、Huntressは説明しています。今回は両社とも、侵入口はプラットフォーム自体ではなく、悪用されたサードパーティ製拡張機能だとしています。ただし、どちらも攻撃者の特定には至っておらず、ConnectWiseは初期アクセスの手口と被害の全容を引き続き調査中だと述べています。
今回の事案は、ConnectWiseが対応に追われたサプライチェーン攻撃から1か月近くがたったタイミングで起きました。この攻撃は後に、Microsoftによって中国政府と連携するグループ「Storm-0940」の仕業とされています。同グループは「ARTEX AI」フレームワークを使ってパスワードスプレー攻撃を自動化し、顧客のMicrosoft 365環境に対する特権アクセスを悪用していました。
翻訳元: https://cyberscoop.com/connectwise-screenconnect-sckit-attack/
