招待から感染へ：SILENTCONNECTがScreenConnectを配信する方法

Ruslan Mikhalov SOC Primeの脅威リサーチ責任者

フォローする

招待から感染へ：SILENTCONNECTがScreenConnectを配信する方法

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

このレポートは、SILENTCONNECTという多段ローダーを概説しています。これはVBScriptドロッパー、メモリ内でのC#コードのPowerShellコンパイル、そしてPEBマスカレードを使用して、ConnectWise ScreenConnectリモート管理ツールを静かに展開します。この攻撃は、フィッシングメールで始まり、被害者をCloudflare Turnstile CAPTCHAページに誘導した後、VBScriptペイロードを提供します。そのスクリプトはGoogle DriveからC#コンポーネントを取得し、メモリ内でコンパイルし、次に悪意のあるドメインからScreenConnect MSIをダウンロードしてWindowsサービスとして永続化を確立します。このキャンペーンは、信頼できるホスティングサービスとランドバイナリを使用して検出の足跡を減らします。

調査

Elastic Security Labsは、最終的にCloudflare R2でホストされているE-INVITE.vbsファイルを露呈させた一連の異常なWindowsスクリプトアラートを特定しました。分析により、PowerShellコマンドがcurl.exeを呼び出し、Google DriveからC#ソースファイルをフェッチし、それをメモリ内で直接コンパイルして実行していたことが示されました。ローダーはNtAllocateVirtualMemoryを使用して実行可能メモリを予約し、PEBを偽装し、Windows Defenderの除外を挿入した後、curlでScreenConnectインストーラーをダウンロードし、msiexecで実行しました。ネットワークテレメトリーは、展開されたクライアントがbumptobabeco.topのC2エンドポイントにTCPポート8041経由で到達していたことを示しました。

緩和策

セキュリティチームは、curl.exeを呼び出す不審なPowerShellコマンドライン、C:Temp以下に作成される一時フォルダー、およびダウンロードされたC#ソースコードの異常なAdd-Typeコンパイルに注意を払うべきです。また、プロセスのBaseDLLNameまたはFullDllNameの値が実際のモジュールパスと一致しないPEB偽装も検出ロジックで考慮する必要があります。MSIインストーラーをホストする見慣れないドメインへのアウトバウンドトラフィックは、ブロックされるか厳重に精査されるべきであり、信頼されていないソースのためのmsiexecの実行は厳格に管理されるべきです。Windows Defenderの除外は、公認された管理ワークフローを通じてのみ適用されるべきです。

対応

これらの兆候が観察された場合は、直ちに影響を受けたホストを隔離し、悪意のあるプロセスを停止し、インストールされたScreenConnectサービスを削除します。一時ファイル、コンパイルされた.NETアセンブリ、ドロップされたMSIパッケージを含む法医学的証拠を収集します。無許可のWindows Defenderの除外を元に戻し、変更された場合はUAC設定を復元します。そして、環境全体で一致するローダーのアーティファクトを探し、新たに特定されたすべてのIOCを使用して検出コンテンツを更新します。

"graph TB %% クラス定義 classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef process fill:#ccffcc classDef malware fill:#ffdddd %% ノード action_phishing["アクション – テクニック: T1566 フィッシング 説明: スピアフィッシングメールが悪意のあるコンテンツを送信します。"] class action_phishing action action_user_click["アクション – ユーザーがCloudflare Turnstileページへの悪意のあるリンクをクリックします。"] class action_user_click action malware_vbscript["マルウェア – VBScriptファイル テクニック: T1059.005 Visual Basic 説明: さらにコードを起動するためにVisual Basicスクリプトを実行します。"] class malware_vbscript malware tool_powershell["ツール – PowerShell テクニック: T1059.001 PowerShell 説明: システム制御のためにPowerShellコマンドを実行します。"] class tool_powershell tool tool_curl["ツール – Curl テクニック: T1570 ラテラルツールトランスファー 説明: リモートストレージ（Google Drive）からファイルを取得します。"] class tool_curl tool malware_compile["マルウェア – メモリ内C#コンパイル テクニック: T1027.004 配信後のコンパイル 説明: C#ソースをメモリ内で直接コンパイルします。"] class malware_compile malware process_injection["プロセス – NtAllocateVirtualMemory テクニック: T1055.002 プロセスインジェクション 説明: ペイロードを注入するためにターゲットプロセスにメモリを確保します。"] class process_injection process malware_peb["マルウェア – PEB マスカレード テクニック: T1036.011 マスカレード 説明: BaseDLLNameを上書きしてwinhlp32.exeと見せかけます。"] class malware_peb malware tool_cmstp["ツール – CMSTP テクニック: T1218.003 システムバイナリプロキシ実行 CMSTP 説明: CMSTP COMインターフェイスを使用してUACを回避します。"] class tool_cmstp tool action_defender_exclusion["アクション – テクニック: T1564.012 ファイルパス除外 説明: 悪意のある実行ファイルのためにMicrosoft Defender除外を追加します。"] class action_defender_exclusion action tool_screenconnect_msi["ツール – ScreenConnect MSI テクニック: T1570 ラテラルツールトランスファー 説明: リモート管理インストーラーをダウンロードします。"] class tool_screenconnect_msi tool tool_msiexec["ツール – Msiexec テクニック: T1547.010 ブートログオン自動起動実行ポートモニタ 説明: ScreenConnectサービスをサイレントインストールします。"] class tool_msiexec tool malware_screenconnect["マルウェア – ScreenConnect サービス テクニック: T1219 リモートアクセスツール 説明: システムに常駐し、コマンドアンドコントロールに接続します。"] class malware_screenconnect malware %% 接続 action_phishing –>|leads_to| action_user_click action_user_click –>|downloads| malware_vbscript malware_vbscript –>|launches| tool_powershell tool_powershell –>|uses| tool_curl tool_curl –>|fetches source for| malware_compile malware_compile –>|loads into| process_injection process_injection –>|enables| malware_peb malware_peb –>|enables| tool_cmstp tool_cmstp –>|triggers| action_defender_exclusion action_defender_exclusion –>|downloads| tool_screenconnect_msi tool_screenconnect_msi –>|installs via| tool_msiexec tool_msiexec –>|creates| malware_screenconnect "

招待から感染へ：SILENTCONNECTがScreenConnectを配信する方法

概要

調査

緩和策

対応

攻撃フロー

検出

可能性のあるGoogle Driveフィッシング（プロキシ経由）

第三者サービス/ツールを介したデータの流入/流出/C2の可能性（dns経由）

Lolbinを含む可能性のあるPowershellスクリプト（powershell経由）

可能性のあるLOLBASチェーン（cmdline経由）

シェルプロセスからのMsiExecの生成（cmdline経由）

ファイル拡張子をTLDとして用いたフィッシングによる初回アクセスの可能性（dns経由）

リモートアクセスソフトウェアドメイン通信試行によるコマンド&コントロールアクティビティの可能性（dns経由）

疑わしいプロセスによるGoogle Driveドメインの解決（dns_query経由）

異常なトップレベルドメイン（TLD）DNSリクエストによる疑わしいコマンド&コントロール（dns経由）

疑わしいCURLの使用（cmdline経由）

珍しいディレクトリでファイルを実行する可能性のあるMsiexec（cmdline経由）

IOCs（HashSha256）の検出：招待から感染まで：SILENTCONNECTがScreenConnectを配信する方法

IOCs（メール）の検出：招待から感染まで：SILENTCONNECTがScreenConnectを配信する方法

IOCs（SourceIP）の検出：招待から感染まで：SILENTCONNECTがScreenConnectを配信する方法

IOCs（DestinationIP）の検出：招待から感染まで：SILENTCONNECTがScreenConnectを配信する方法

C#ペイロードのダウンロードと実行による疑わしいPowerShellの実行【Windows Powershell】

SILENTCONNECT ScreenConnectインストーラのダウンロードおよび実行の検出【Windowsプロセス作成】

シミュレーションの実行