研究者は、このプラットフォームが悪用され、リモートアクセスの確立や悪意あるツールキットのインストールに使われていると警告しています。
ConnectWiseは、攻撃者がScreenConnect環境のサードパーティ製拡張機能を操作しているとの報告を受け、調査を進めていると明らかにしました。攻撃者はこの手口でエンドユーザーに対し、悪意あるリモートコマンドを実行しているとみられます。
ConnectWiseは予防措置として、約400の環境でRMM+拡張機能へのアクセスを無効化しました。オンプレミス環境のパートナーについては、同社が一方的に対処できないため、各自でサードパーティ製拡張機能を無効化するよう呼びかけています。
同社は声明で次のように述べています。「初期アクセスの手法はまだ確認できていませんが、現時点の評価では、パートナー環境にインストールされた独立系サードパーティ製拡張機能を攻撃者が悪用した可能性があります」
米メリーランド州のサイバーセキュリティ企業Huntressによると、攻撃者は48組織にまたがる少なくとも288台の管理対象エンドポイントに、不正なScreenConnectクライアントをインストールしました。これは同社のブログ記事で明らかになったものです。不正なクライアントは、その後SCKitと呼ばれる悪意あるツールキットを環境内にインストールします。
Huntressの技術コンテンツ担当スペシャリストであるSusannah Matt氏は、Cybersecurity Diveの取材に次のように答えました。「攻撃者はScreenConnectを悪用して被害環境に永続的なリモートアクセスを確立し、セッションCookieを盗む可能性のあるマルウェアをインストールしています」
攻撃者はScreenConnectのRunコマンドを使い、悪意あるツールキットを展開します。Huntressの研究者によると、SCKitにはPowerShellスクリプト、バッチスクリプト、Windowsコマンドラインファイルなど16個のファイルが含まれています。これらによって、感染が多段階のプロセスで拡大する仕組みです。
Sophosの研究者も、ScreenConnectの不正なデプロイを伴う同様の活動を調査しています。これは同社のブログ記事で明らかになりました。
BlackPointの研究者は、このツールキットにはRelay/Trapコンポーネントが含まれ、感染したマシンへの接続を試みる技術者を標的にしていると主張しています。これは同社のブログ記事で述べられています。
BlackPointの研究者によると、この「ゲストからホストへ」の挙動は、過去に公表された脆弱性CVE-2026-84869に関連しています。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、この脆弱性を9月に既知の悪用された脆弱性（KEV）カタログに追加しました。ただし研究者は、今回の攻撃キャンペーンでこの脆弱性が実際に悪用に成功したかどうかについては、まだ確認できていません。
ConnectWiseによると、無効化した拡張機能にはLabtech Plus、RMM Plus、RMM+、RMM Plus Password Link、RMM + Password Linkが含まれます。
ConnectWiseはパートナーに対し、次の対応を推奨しています。
- サードパーティ製拡張機能が無効化されていることを確認する
- 侵害が疑われる場合は、別のツールを使って調査する（つまり、対話型のScreenConnectセッションは調査に使わない）
- 信頼できるデバイスから管理者アクセスを保護する。アクティブなScreenConnectセッションとパスワードを失効させ、多要素認証を使用する
- 認証、拡張機能のインストール、Runコマンド、Toolboxの記録など、証拠を保全する
