別個なホスト間に出現するScreenConnectのワームのような活動の疑い

概要

脅威アクターは、接続されたシステム全体に広がるワームのような挙動を示す不正なScreenConnectインスタンスを展開しています。マシンが侵害されると、修正されたScreenConnectクライアントは自動的に新しく接続されたエンドポイント上でマルチステージのVBScriptチェーンを転送および実行します。このキャンペーンは、ソーシャルエンジニアリングとRMMの悪用を組み合わせて永続性を維持し、クレデンシャルスティーラーや暗号通貨マイナーを含む追加のペイロードを配信します。

調査

Huntressは、ScreenConnectクライアントが生成した不審なプロセス活動を特定しました wscript.exe を実行し、VBScriptファイルである 1.vbs から 4.vbsまでのシーケンスを実行します。分析によれば、これらのスクリプトは感染したシステムをプロファイルし、EDR製品をチェックし、Dropboxからステージングされたペイロードを取得します。修正されたScreenConnectクライアントは新たに接続されたホストにスクリプトを伝播するために使用されました。

緩和策

管理者は、オンプレミスのScreenConnect展開を密に監視し、異常な活動のための監査ログをレビューすべきです。特に、防御者は RunFiles or RanFiles として識別されたVBScriptファイル名のエントリが実行された Guest プロセスを注意深く見るべきです。また、組織はRMMツールおよびQuick Assistのようなリモートサポートユーティリティに対する厳格な管理を強制するべきです。

対応

影響を受けたホストは、既知の良好なメディアを使用して再イメージングするか、クリーンなオペレーティングシステムのインストールを通じて復元するべきです。セキュリティチームは、直ちにScreenConnect監査ログをレビューし、疑わしいスクリプト実行の証拠を確認するべきです。RMM接続後の異常な wscript.exe またはPowerShellの活動も高優先度のセキュリティインシデントとして扱うべきです。

シミュレーションの実行

前提条件：Telemetry & Baseline Pre-flight Check は合格している必要があります。

根拠：このセクションは、検出ルールをトリガーするように設計された敵対的技術 (TTP) の正確な実行を詳述します。コマンドと説明は、特定されたTTPを直接反映しており、検出ロジックによって期待される正確なテレメトリを生成することを目的としています。抽象的または無関係な例では誤診を招きます。

• 攻撃の物語とコマンド： 敵対者がワークステーションへの初期アクセスを獲得しました。基本的なEDRルールが直接 powershell.exe の実行を監視することを回避するために、ビルトインのWindows Script Hostを活用したVBScriptファイルをドロップします。VBScriptは、 runner.ps1という名前の二次的なPowerShellスクリプトを実行するように設計されています。このスクリプトは、メモリにクレデンシャルダンピングモジュールをロードすることを意図しています。 wscript.exe を親として使用することにより、攻撃者は標準的なWindows管理活動に溶け込もうとします。

• 回帰テストスクリプト：

  # 検出ロジックの文字列要件を満たすためにダミーの‘runner.ps1’ファイルを作成
  $dummyScript = "$PSScriptRootrunner.ps1"
  New-Item -Path $dummyScript -ItemType File -Force
  Set-Content -Path $dummyScript -Value "Write-Host 'Simulating Payload Execution'"
  
  # PowerShellスクリプトを呼び出すVBScriptを作成
  # これは攻撃者がWSHを使ってPowerShellを起動する方法を模倣します
  $vbsContent = @"
  Set objShell = CreateObject("WScript.Shell")
  objShell.Run "powershell.exe -ExecutionPolicy Bypass -File ""$dummyScript""", 0, True
  "@
  $vbsFile = "$PSScriptRootlauncher.vbs"
  Set-Content -Path $vbsFile -Value $vbsContent
  
  # wscript.exeを介してVBScriptを実行し、検出ルールをトリガー
  Write-Host "[!] wscript.exeによるシミュレーションの実行..."
  Start-Process "wscript.exe" -ArgumentList "`"$vbsFile`""

• クリーンアップコマンド：

  # シミュレーションアーティファクトを削除
  Remove-Item -Path "$PSScriptRootrunner.ps1" -ErrorAction SilentlyContinue
  Remove-Item -Path "$PSScriptRootlauncher.vbs" -ErrorAction SilentlyContinue
  Write-Host "[+] クリーンアップ完了。"