インメモリーローダーがScreenConnectをドロップ

概要

ThreatLabz は、偽の Adobe Acrobat Reader のダウンロードから始まり、最終的に正規のリモートアクセスツール ScreenConnect の導入に至るマルチステージ攻撃チェーンを特定しました。このオペレーションは、強力に難読化された VBScript ローダーに依存しており、PowerShell コマンドをトリガーして Google Drive から C# ソースコードを取得、メモリ内で直接コンパイルし、最終ペイロードをディスクにドロップすることなく .NET ローダーを起動します。そのローダーは、プロセスマスカレーディングを適用し、PEB 構造を変更し、自動昇格された COM オブジェクトを悪用してより高い権限を取得し、ScreenConnect を被害者のホストにインストールします。

調査

研究者たちは、VBScript が Chr() 難読化を通じてどのようにそのコマンドを組み立てるかを概説しました。一方 PowerShell はペイロードをメモリ内で完全に取得しコンパイルしてディスクアーティファクトを最小化します。インメモリ .NET ローダーは、反射を使用して埋め込まれたアセンブリを実行します。追加の分析では、マルウェアが NtAllocateVirtualMemory を呼び出し、PEB フィールドを書き換えて winhlp32.exe を偽装し、COM 自動昇格を利用してユーザーアカウント制御を回避し、昇格された特権で実行を続行することが示されました。

緩和策

防御者は、悪意のあるダウンロードドメインへのアクセスをブロックし、PowerShell と VBScript の実行に厳格な制御を適用する必要があります。セキュリティチームは、疑わしい COM オブジェクトの作成、予期しない PEB 改ざん、その他のインメモリ実行の濫用を監視する必要があります。正当なリモート管理ツール（ScreenConnect など）へのアクセスは、承認されたユーザーと信頼されたワークフローに厳しく制限することにより、無許可のインストールのリスクを軽減するべきです。

対策

このアクティビティが検出された場合、影響を受けたシステムを即座に隔離し、悪意のあるプロセスを停止し、侵入の一環としてインストールされた ScreenConnect コンポーネントを削除してください。ファイルレス実行チェーンの証拠を回収するために、揮発性メモリアーティファクトに重点を置いたフォレンジック分析を行います。潜在的に露出した資格情報をリセットし、COM 自動昇格の濫用に関するログを確認し、観測されたコマンドラインパターン、ローダーの挙動、関連するファイル名の命名規則を特定するように検出を更新してください。

シミュレーション実行

前提条件: テレメトリとベースラインの事前フライトチェックが通過している必要があります。

理由: このセクションは、検出ルールをトリガーするために設計された敵対的技術 (TTP) の正確な実行を詳述しています。コマンドとストーリーは、特定された TTP を直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目指します。

• 攻撃ストーリーとコマンド:
  敵は ScreenConnect MSI を取得しました（フィッシング添付ファイルで提供されることが多い）。ユーザーの操作を避けるために、信頼された msiexec.exe バイナリを使用してサイレントインストールを実行します。また、 ShellExec.exe プロキシを示し、単に引数を msiexecに転送します。どちらのコマンドも、コマンドラインにリテラル文字列「ScreenConnect」を埋め込み、ルールの条件を満たします。

  1. MSI を被害者ホストにコピーする （T1025 をシミュレーション）。

  2. msiexec.exe を介してサイレントインストールを実行する msiexec:

      msiexec.exe /i "C:TempScreenConnect.msi" /quiet /norestart

  3. 次の方法で同じインストールを実行する ShellExec.exe （ホスト上にある場合）：

      ShellExec.exe /i "C:TempScreenConnect.msi" /quiet /norestart

  これらのアクションは、ルールが発火する Sigma ルールで イメージ is *msiexec.exe or *ShellExec.exe and コマンドライン が「ScreenConnect」を含む Windows Event 4688 エントリを生成します。

• 回帰テストスクリプト:

  #=============================================================
  # ScreenConnect インストールシミュレーション – Sigma ルールをトリガー
  #=============================================================
  $msiPath = "C:TempScreenConnect.msi"
  
  # MSI が存在することを確認する (プレースホルダー – 実際のテストでは最初にファイルをドロップ)
  if (-Not (Test-Path $msiPath)) {
      Write-Error "ScreenConnect MSI が $msiPath に見つかりません"
      exit 1
  }
  
  # 1. msiexec を使用してサイレントインストール
  Write-Host "[*] msiexec を介して ScreenConnect をインストール中..."
  Start-Process -FilePath "$env:SystemRootSystem32msiexec.exe" `
                -ArgumentList "/i `"$msiPath`" /quiet /norestart" `
                -Wait -NoNewWindow
  
  # 2. ShellExec を使用したサイレントインストール（存在する場合）
  $shellExec = "$env:ProgramFilesScreenConnectShellExec.exe"
  if (Test-Path $shellExec) {
      Write-Host "[*] ShellExec を介して ScreenConnect をインストール中..."
      Start-Process -FilePath $shellExec `
                    -ArgumentList "/i `"$msiPath`" /quiet /norestart" `
                    -Wait -NoNewWindow
  } else {
      Write-Warning "ShellExec.exe が見つからないため、2番目のインストールをスキップ。"
  }
  
  Write-Host "[+] シミュレーション完了。アラート確認のために SIEM を確認してください。"

• クリーンアップコマンド:

  # ScreenConnect アンインストール (登録されている製品 GUID を使用、必要に応じて調整)
  $productGuid = (Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionUninstall*" |
                  Where-Object { $_.DisplayName -like "*ScreenConnect*" }).PSChildName
  
  if ($productGuid) {
      Write-Host "[*] ScreenConnect のアンインストール中 (GUID: $productGuid)..."
      & "$env:SystemRootSystem32msiexec.exe" /x $productGuid /quiet /norestart
  } else {
      Write-Warning "ScreenConnect 製品 GUID が見つからないため、手動でのクリーンアップが必要な場合があります。"
  }
  
  # コピーした MSI ファイルの削除
  Remove-Item -Path "C:TempScreenConnect.msi" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] クリーンアップ完了。"