サイバーセキュリティ企業Huntressは、ConnectWise ScreenConnectプラットフォームを使用している数十社の顧客に属する数百台のデバイスを標的とした、大規模な攻撃キャンペーンを明らかにしました。この攻撃は11月11日に確認され、攻撃者はクラウドホスト型のScreenConnectコントロールパネルへの不正アクセスを悪用して、管理対象のデバイス上で直接プログラムコマンドを実行しました。
侵害の詳細と拡散の速さ
報告によると、このキャンペーンは少なくとも6社のマネージドサービスプロバイダー（MSP）と、48の異なる組織に分散した288のホストに影響を与えました。懸念されるのは攻撃者の高い効率性であり、彼らはわずか90分以内にすべての標的デバイス（288台）を侵害することに成功しました。
RMM+プラグインの脆弱性とマルウェアSCKit
攻撃者は、ScreenConnectセッションの管理に使用される外部プラグインであるRMM+プラグインのセキュリティ脆弱性を悪用して攻撃を行いました。問題はバージョン1.0.31および1.0.32にあり、管理者が設定を行わない場合、アクセスキー（access key）がデフォルトで空のままになっていたため、攻撃者は単に空の値を送信することで認証プロセスを回避することができました。
この侵害により、SCKitとして知られるマルウェアツールセットが配布されました。これには以下の機能があります：
- バックドア（backdoors）を介した永続的なアクセスの提供。
- セッションクッキー（session cookies）の傍受。
- ネットワーク内での自己増殖能力。
このマルウェアは、技術者が感染したデバイスに接続するのを待ち、その後技術者のワークステーションに移動して、その技術者がアクセス権を持つ他のセッションを侵害しようと試みることで動作し、組織内での横展開を容易にします。
なぜこのニュースが技術的に重要なのか？
危険性は、技術インフラストラクチャにおいて最も機密性の高いツールの一つであるリモート管理ツール（RMM）が標的となっている点にあります。認証を回避するためにサードパーティの「拡張機能」（Extensions）を悪用することは、一般的なセキュリティ上のギャップを浮き彫りにしています。これらのツールは一時的な目的で追加され、その後、更新や厳密な監視なしに放置されることがよくあります。また、攻撃の速さは、侵害が発見される前に迅速かつ広範囲にアクセスするために、攻撃者がデフォルト設定（Default configurations）の誤りを悪用できる能力を示しています。
対応と実施された措置
この脅威に対応して、ConnectWise社は、Labtech Plus、RMM Plus、RMM+を含む、約400の作業環境においてRMM+ファミリーの5つのプラグインを無効化しました。また、影響を受けた企業に対しては、即時の予防措置として、オンプレミス（on-premises）の展開においてこれらのプラグインを無効にすることを推奨しました。