EV署名フィッシングインストーラーがScreenConnectを配布

はじめに: なぜ重要なのか

脅威アクターは、商用の Remote Monitoring and Management (RMM) ツールを展開することで、正規の IT 運用にますます紛れ込むようになっています。今回のキャンペーンは、身近な「業務用アプリ」のブランド表示と EV code signing を利用してユーザーの警戒心を下げ、実行率を高めることで、この傾向をさらに一段進めています。ユーザーが会議アプリや文書ソフトを日常的にインストールする企業環境では、実用的な初期アクセス手法になり得ます。

新たに判明した点 / 主な調査結果

Microsoft Defender Experts は、未特定の脅威アクターによる複数のフィッシングキャンペーンを観測しました。主な特徴は次のとおりです。

• 会議や文書を装った誘導: メールは会議招待 (Teams/Zoom/Google Meet)、請求書、財務文書、入札、組織通知を装っていました。
• 偽 PDF とスプーフィングされたダウンロードページ: 一部のメッセージは「Open in Adobe」ボタン付きの偽 PDF を配信し、ユーザーを Adobe を模倣したダウンロードサイトへ誘導して「更新」を促しました。
• 正規インストーラーを装う実行ファイル: ペイロードには、msteams.exe、adobereader.exe、zoomworkspace.clientsetup.exe、invite.exe、trustconnectagent.exe など、信頼されたインストーラーに見せかけた名前が使われていました。
• EV 署名による信頼悪用: ドロッパーは、TrustConnect Software PTY LTD に発行された EV certificate でデジタル署名されており、正規に見えるようにしていました。
• RMM バックドアの展開: 実行後、ScreenConnect、Tactical RMM、Mesh Agent などの RMM ツールがインストールされ、持続的なリモートアクセスが可能になりました。

侵害が永続化を確立する仕組み (技術的ハイライト)

ScreenConnect を中心とした感染チェーンでは、「workspace」実行ファイルが次の動作を行いました。

• 正規にインストールされたアプリに見せかけるため、自身を C:\Program Files にコピー。
• 起動時の永続化のため、自身を Windows service として登録。
• Run key による追加の自動実行を作成:
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • 値名: TrustConnectAgent
  • 対象: C:\Program Files\Adobe Acrobat Reader\AdobeReader.exe
• 攻撃者のインフラ (特に trustconnectsoftware[.]com) へ外向き通信を実施。
• encoded PowerShell を使用して追加ペイロードをダウンロードし、ステージングされた MSI ファイルから ScreenConnect をインストールするために msiexec.exe を呼び出し。

Microsoft は、MSI が未署名に見えるケースや、その後に revoked certificates で署名された ScreenConnect バイナリが続くケースを指摘しており、これは悪意ある、または未承認の展開でよく見られるパターンです。

IT 管理者とエンドユーザーへの影響

• ユーザー は、会議への参加、請求書の確認、「古くなった」アプリの更新といった日常業務の流れの中で狙われます。
• IT チームとセキュリティ チーム は、RMM エージェントが承認済みのリモートサポートに見えるため、攻撃者の活動を通常の管理ツール利用と見分けにくい可能性があります。
• 侵害後のリスクが増大: service や autorun による永続化に加え、RMM ツールによって資格情報へのアクセス、リモート制御、ラテラルムーブメントが加速する可能性があります。

対応策 / 次のステップ

• ソフトウェア インストール経路を強化する: 可能な限りユーザー主導のインストールを制限し、「インストーラー型」の実行ファイルに対して allowlisting (例: WDAC/App Control) を適用する。
• RMM 利用を監査する: 承認済みの RMM ツールを棚卸しし、未承認エージェント (ScreenConnect/Tactical RMM/Mesh) や不審な service 作成をブロックまたはアラート対象にする。
• コード署名の信頼判断を見直す: 「署名済み」はシグナルであって証明ではありません。新規または稀な発行元、異常な EV 署名バイナリを検知するロジックを追加します。
• 永続化の指標をハンティングする: TrustConnectAgent Run key、予期しない service、不審な msiexec.exe と encoded PowerShell パターンを確認する。
• フィッシング耐性を強化する: メールや PDF 経由の「更新が必要」プロンプトに関するユーザー向けガイダンスを徹底し、Defender の保護機能で添付ファイルやリンクを detonate/inspect する。