セキュリティ2026/11/12 16:17 UTC·2 分で読めます

ScreenConnect拡張RMM+の欠陥、90分で288台に感染

ScreenConnectのサードパーティ拡張が悪用され、90分で288台にマルウェアが入りました。ConnectWiseは約400環境で5つの拡張を無効化しました。

An IT technician's workstation showing a remote support console with a red security warning over a list of infected computers. — 画像: theregister

SUMO：数字パズル

Dialo：話して学ぶ語学アプリ

ediviewer：EDIファイルを文書のように読む

giftdetect：数分でぴったりの贈り物

ScreenConnectのサードパーティ製拡張機能が悪用され、攻撃者はわずか90分で48組織の288台にマルウェアを送り込みました。ConnectWiseは対応として、数百の顧客環境で5つの拡張機能を無効にしています。

セキュリティ企業Huntressが水曜日にRedditで警告しました。攻撃は協定世界時1747ごろに始まり、ScreenConnectのリモートコマンド機能で、複数のITサービス事業者(MSP)が管理する端末に不正なクライアントが入れられました。約3分の1は最初の10分で被害に遭っています。被害者に連番が振られていたことから、Huntressは未検知のMSPがさらにある可能性もみています。

ScreenConnectのRMM+拡張機能の脆弱性とは

RMM+は、他の管理ツールがScreenConnectのコンソールを介さずコマンドを出せる拡張機能です。バージョン1.0.31と1.0.32には、アクセスキーを設定していない環境が空のキーを受け入れる欠陥があります。RMM+はScreenConnect本来のユーザーアカウントや認証とは別に動くため、多要素認証(MFA)を破らずにコマンドを実行できる可能性があります。Huntressによると、ログイン記録がないままコマンドが届いた例が複数ありました。ScreenConnect 26.6.6.9747と26.7.6.9783でも被害が確認され、最新版なら安全とは限りません。

マルウェアSCKitは何をするのか

攻撃者は16ファイルのツールキット「SCKit」を使いました。正規の接続を切られても入り込めるよう、別のScreenConnectクライアントを入れます。調査に来た技術者を狙うわなも仕込まれており、技術者がScreenConnectで接続すると、その端末へのマルウェア転送や認証クッキーの窃取、他の端末への感染拡大を試みます。ただしHuntressは、この手口の成功は確認していないとしています。C#コードの一部はLLMで生成された疑いもあるそうです。

ConnectWiseは、RMM+系の拡張を1つ以上入れた約400件を把握しました。RMM+、RMM Plus、Labtech Plusを含む5つを、遠隔で可能な範囲で無効化しています。400環境は拡張があるだけで特定されたもので、全てが侵害されたわけではないとのことです。ConnectWise自身の基盤やScreenConnect本体の脆弱性の証拠はないとしています。

管理者は何をすべきか

疑わしい端末の調査にScreenConnectでの遠隔接続は使わないでください。別のセキュリティツールで不正なクライアントや実行コマンドを確認し、マルウェアを除去する必要があります。拡張の無効化や認証情報のリセットだけでは不十分で、隔離を解いて数分で再感染した端末もあったとHuntressは述べています。