マイクロソフトのセキュリティインテリジェンスチームは、コネクトワイズ（ConnectWise）社と共同で、リモートテクニカルサポートプラットフォーム（ConnectWise ScreenConnect）のサーバーとアカウントを標的としたアクティブなサイバー攻撃キャンペーンを明らかにしました。このキャンペーンは、正規のリモートサポートツールであるアプリケーションを悪用し、不正なアクセス用クライアントをインストールし、顧客のエンドポイントデバイス上で（SCKit）として知られる高度な悪意あるワームを展開するものです。
攻撃チェーンはScreenConnectのクラウドまたはオンプレミスサーバーを介して開始され、アクセス用クライアントが悪用されて、マネージドサービスプロバイダー（MSP）の承認されたインフラストラクチャとは別のコマンド＆コントロール（C2）チャネルが確立されます。悪意あるワームは、PowerShellの復号ファイルや自動化スクリプトなどの追加のソフトウェアコンポーネントを展開するほか、影響を受けたユーザーにサポートを提供するために接続するサポート技術者のワークステーションを標的とする（RelayTrap）ツールを埋め込みます。
SCKit攻撃は実践において何を意味するのか？
このキャンペーンの危険性は、従来の攻撃の方向性を逆転させる能力にあります。ハッカーが顧客のエンドポイントデバイスを侵害するにとどまらず、SCKitワームは技術者のアクティブなサポートおよび認証セッションを悪用して、彼らのワークステーションにアクセスします。技術者のデバイスがひとたび制御されると、攻撃者は管理コンソールを使用して悪意あるペイロードを管理下の追加デバイスに配布し、ブラウザセッションデータや機密性の高いクッキーを窃取することができます。
技術分析によると、ハッカーはマシンGUID（MachineGuid）やAESおよびPBKDF2などのアルゴリズムで暗号化されたキーを使用してデータパケットを復号する複雑な技術に依存しているほか、初期接続が切断された後もアクセスの持続性と安定性を確保するために、タスクスケジューラやレジストリキーを作成しています。
予防措置とリスク軽減のためのガイドライン
セキュリティ機関は、不正なクライアントを削除しただけでは持続性ファイルが削除されたり、危険にさらされたWebセッションが無効化されたりするわけではないため、プラットフォームのサーバー側とクライアント側の側面を別個に対処する必要性を強調しました。主な修復および技術調査の手順には、以下が含まれます。
- 脆弱性のインシデントに関連する影響を受けたプラグインを無効にし、ベンダーの公式ガイドラインに従うこと。
- クラウドコンソールのアップデートではローカルクライアントが自動的にアップデートされないため、技術者のワークステーション上のScreenConnectクライアントを安全なバージョンにアップデートすること。
- Microsoft Defender for Endpointのライブレスポンスツールなどの独立したチャネルを通じてデバイスを調査し、疑わしいプラットフォームセッションに依存しないこと。
- 危険にさらされたWebセッションを無効化し、資格情報をローテーションし、使用されたコマンドログや管理ツールを確認すること。
マイクロソフトは、組織がペイロードファイル、通信ネットワーク、および悪意ある活動に関連するIPアドレスに関連する侵害の兆候（IoC）を発見できるよう、Defender XDRプラットフォームを通じた高度なハンティングクエリを提供しています。