ScreenConnect悪用でMSP経由の被害拡大、48組織288台に不正クライアントを90分で展開

　セキュリティ企業のHuntressは11月11日、ConnectWiseの遠隔操作ツール「ScreenConnect」のクラウド管理画面が悪用され、管理下の端末に不正なクライアントとマルウェアが一斉に仕込まれたと明らかにした。同社の顧客だけで、48組織の288台以上に影響が出たという。

　Huntressによると、11日17時47分（協定世界時）ごろ、複数のScreenConnect環境につながる端末で不審な動きを観測した。攻撃者は管理画面の「Run Command」機能を使い、SYSTEM権限で端末のグループにコマンドを送った。288台は約90分の間に影響を受け、そのうち約3分の1は最初の10分で仕込まれたという。

　コマンドは、攻撃者が管理する別のScreenConnectクライアントを入れたうえで、「SCKit」と呼ぶ16ファイルのツール群を端末に置く内容だった。SCKitは、端末が正常に見えるよう、正規のクライアントに代わって接続を引き継ぐ仕掛けも備えていたという。Blackpoint Cyberも11日、MSP（運用代行事業者）が使う管理画面をめぐる同じ攻撃への対応を報告している。Huntressは、技術者のPCや他の端末へ広げる仕組みもコードから確認したが、成功した例は見つかっていないとしている。

　同社は、感染が疑われる端末にScreenConnectで接続しないよう呼びかけた。接続した技術者のPCに感染が広がる恐れがあるためで、調査にはEDRの遠隔対応機能など別の手段を使うよう求めている。隔離しただけでは居座る仕組みが消えず、隔離の解除直後に再感染した端末も観測したという。

　ConnectWiseは11日22時45分（協定世界時）に公式のアドバイザリを公開した。関連の可能性がある第三者開発の拡張機能5種を、約400のパートナー環境で予防的に無効化したという。この数字は拡張機能が入っていた環境の数で、侵害が確認された数ではないと説明している。

　ConnectWiseは12日の更新で、同社の基盤が侵害された証拠や、初期の侵入にScreenConnectの脆弱性が関わった証拠は見つかっていないとした。拡張機能の悪用を含め、侵入経路の評価を続けている。

　Huntressは、一括コマンドの実行履歴に不審な操作や不正な2つ目のクライアントがないかを調べ、認証情報とセッションを作り直すよう求めている。