ScreenConnect乱用で“RMMがワーム化”——四段階VBScriptチェーンが新規接続端末へ自己拡散します

今日の深掘りポイント

• 四段階のVBScriptチェーンが、環境プロファイリング→セキュリティ製品確認→悪性ScreenConnectクライアント導入→持続化・横展開の順に進み、RMMの運用機能を拡散装置へと転用します。
• 異なる初期侵入を経た無関係な3件で同系統のチェーンが確認され、ツールキット化・手口の普及可能性が高いです。
• MSPと顧客の境界をまたぐ“新規接続”イベントを起点に広がるため、被害の地理的・組織的な裾野が広がりやすいです。
• 早期封じ込めの肝は「RMMハードニング（機能・宛先・証明書の三点締め）」「VBScript/スクリプト挙動の行動検知」「MSP連携の即応プロセス」の三本柱です。

はじめに

リモート運用の中核にあるRMM（Remote Monitoring and Management）が、攻撃者によって“増殖の媒体”へ変質するとき、私たちが前提にしてきた運用と防御のバランスは大きく崩れます。Huntressの観測によれば、ConnectWise ScreenConnectを悪用した四段階VBScriptチェーンが、あたかもワームのように新規接続端末へ広がる事案が相次いでいます。RMMの利便性と拡散性が、そのまま攻撃の駆動力になる局面です。ここでは、事実を丁寧にほどきつつ、MSP依存が高い日本の中堅企業にとっての要点を、現場実装の視点で詰めていきます。

参考情報（報道）: The Hacker News: Rogue ScreenConnect clients spread four-stage VBScript chain（2026-09-07）

深掘り詳細

事実関係（公開情報の整理）

• Huntressの分析として、以下が報じられています（上記記事経由）。
  • 異なる初期アクセス手口（例：フィッシングやソーシャルエンジニアリング、Quick Assistの悪用）を起点に、四段階のVBScriptチェーンが実行されます。
  • チェーンの過程で、システム情報のプロファイリングやセキュリティ製品の存在確認が行われ、最終的に悪意のあるScreenConnectクライアントが導入されます。
  • ユーザーレベルのバックドアや特権昇格ツール、場合によってはマイニングツールが展開される事例も確認されています。
  • 無関係な3件で同系統の手口が観測され、拡散面では“新規に接続されたシステム”へ自動的にVBScriptペイロードを配布する、ワーム様の挙動が見られます。

上記は二次ソース（報道）に依拠した要約です。一次情報（技術詳細・IOC・TTPの原文）への直接アクセスが可能なら、組織内検証で必ず突き合わせるべきです。

インサイト（編集部の視点）

• RMMの「イベント駆動」を逆手に取る手口です。ScreenConnectは、接続・ファイル転送・リモートコマンドといった正規機能が揃い、導入端末数が増えるほど運用効率が上がります。攻撃者はこの正の相関を“感染の加速度”として転用し、接続イベントや配布機能を足場に自己拡散します。
• 無関係な複数インシデントで同型チェーンが見えた点は、単発のオペレータではなく、再利用可能なプレイブック（ツールキット化）を示唆します。RMM乱用は既に“Bring-Your-Own-RMM（BYO-RMM）”の常套化が進みましたが、今回は“RMMのワーム化”という位相転換で、管理境界（MSP ⇄ 顧客）をまたぐ伝播力が鍵になっています。
• 日本の中堅企業はMSP依存が高く、通信・業務支援・製造下請けなどで国境を越えた委託構造を抱えがちです。この構造では、「自社の境界を超えた新規接続端末」を日常的に受け入れるため、RMM上での拡散を封じるファイアブレーク（機能・証明書・宛先の三点で制約）を前提設計に組み込む必要があります。
• メトリクス全体からにじむのは、即時性と再現性の高さ、そして現場がすぐ手を打てる“運用ハードニング余地”が十分あるという事実です。予防は機能制御と宛先制御、検知はスクリプト挙動のハントとRMMテレメトリの相関で、短期間にカバー率を引き上げられます。

脅威シナリオと影響

以下は公開情報に基づく推測を含む仮説シナリオです。実環境評価時は自組織のRMM設定・EDRテレメトリで裏取りしてください。

• 想定シナリオ

  1. 初期侵入
     • フィッシング（添付/リンク）やQuick Assist悪用でユーザが支援を許可、あるいは資格情報詐取を経て端末へ到達します。
     • MITRE ATT&CK: Phishing（T1566）、User Execution（T1204）、External Remote Services（T1133）
  2. スクリプト実行と環境偵察
     • VBScript（wscript/cscript経由）でプロファイリング、セキュリティ製品の有無を確認します。追加ステージを外部から取得します。
     • MITRE: Command and Scripting Interpreter: VBScript（T1059.005）、System Information Discovery（T1082）、Security Software Discovery（T1518.001）、Ingress Tool Transfer（T1105）
  3. RMM（ScreenConnect）導入・持続化
     • 攻撃者管理のScreenConnectインスタンスへ接続するクライアントを導入し、レジストリRunキーやタスクで永続化します。環境次第でUACバイパスや権限昇格も試みます。
     • MITRE: Remote Services（T1021）、Boot or Logon Autostart Execution: Registry Run Keys/Startup（T1547.001）、Scheduled Task（T1053）、Abuse Elevation Control Mechanism: Bypass UAC（T1548.002）
  4. 自己拡散・横展開
     • 新規接続端末や管理ドメインの他端末に対し、RMMのファイル転送・コマンド機能でVBScriptを配布・実行します。
     • MITRE: Lateral Tool Transfer（T1570）、Command and Control over Web Protocol（T1071.001）、Masquerading（T1036）、Impair Defenses（T1562）
  5. ペイロード展開
     • バックドア、特権昇格ツール、マイナー等を状況に応じて導入します。以降はデータ収集やランサムウェア移行も視野に入ります。

• 影響の含意

  • RMMの“正規機能による拡散”は、EDRの「異常プロセス挙動」だけでは捕捉しにくい側面があります。RMMテレメトリ（接続先FQDN、配布対象、操作経路）との相関を前提にしないと見逃しがちです。
  • MSP環境と顧客側の境界で“新規接続端末の初期健全性”が検証されないと、平時オペレーションの中で感染が拡大します。これは従来の横展開（SMB/WMI/RDP）よりも、運用上のノイズにまぎれやすいです。
  • 脅威の再現性が高く、攻撃者にとって低コストで横展開可能なため、地理・業種を問わず広がりやすいです。

セキュリティ担当者のアクション

優先順位づけした“72時間アクション”と“中期ハードニング”をセットで示します。運用影響を伴う項目はCABやMSPと即時に合意形成してください。

• 直ちに実施（0〜72時間）

  • ScreenConnectハードニング
    • ファイル転送・リモートコマンドの既定権限を見直し、許可主体を最小化します。利用が不要なテナント/ロールでは無効化します。
    • クライアントの接続宛先FQDN/IPを“自組織の許可済みインスタンス”に限定するネットワーク制御（プロキシ/ファイアウォール/EDRネットワーク制御）を適用します。未知のScreenConnectインスタンス宛のTLS 443は遮断します。
    • サーバ証明書のピン留め（ピンニング）やCN/発行者検証の強制を検討し、自己署名や予期しない証明書連鎖を拒否します。
  • スクリプト挙動の緊急ハント
    • wscript.exe/cscript.exe/mshta.exe/powershell.exe からの外向き通信、MSXML2.XMLHTTP・ADODB.Streamを伴うVBScript実行を直近14日で洗い出します。
    • ProgramData/Temp/ユーザープロファイル配下に生成された.vbs/.vbeの新規作成と、Runキー（HKCU/HKLM...\Run）およびスケジュールタスクでの呼び出しを相関します。
  • 不正RMMクライアントの棚卸し
    • “ScreenConnect Client (…)" サービスの新規生成・インストール時刻のスパイクを確認し、接続先FQDNが自組織の許可リストと一致しないものを即時隔離・削除します。
  • アカウント・資格情報の即応
    • ScreenConnect管理者・技術者ロールのパスワードリセット、MFA再発行、APIキー／共有セッションリンクの失効を一括実施します。
  • MSPとの合同行動
    • 影響テナント・セッションのスコープ共有、許可済みインスタンスのホワイトリストを相互に確認し、暫定的なファイル転送停止や承認フロー強化を合意します。

• 2〜4週間での恒久対策

  • RMMゼロトラスト運用
    • 「機能の最小化（転送・コマンド・スクリプト）」「宛先の固定化（FQDN/IPの許可リスト）」「証明書の厳格検証」の“三点締め”を標準化します。
    • 新規接続端末の“初回ヘルスチェック”（EDR稼働・署名・パッチ水準）を自動化し、基準未満はRMM操作をブロックします。
  • クライアント構成の継続検証
    • ScreenConnectクライアントの設定ファイル（接続先、インスタンスID、証明書ピン）を資産管理でモニタし、ドリフト（想定外変更）を検出したら自動で隔離・再プロビジョニングします。
  • ログと相関
    • RMM操作ログ（配布/コマンド/セッション）とEDR・プロキシ・DNSログを相関し、「RMM経由のスクリプト配布」「RMMクライアント導入直後のスクリプト実行」「未知FQDNへの連続接続」を検出するルールを常設します。
  • ユーザー露出の縮減
    • Quick Assistなど外部者が容易に介在できる支援機能は原則無効化し、代替は社内RMMの制御下でのみ許容します。
  • レッドチーム検証
    • BYO-RMM/スクリプト連鎖を題材に、紫チーム演習で「イベント駆動の自己拡散」が検知・封じ込めできるかを定期評価します。

• 現場の検知ヒント（ルール化の出発点）

  • wscript.exe/cscript.exe が短時間に外向き接続→ファイル書込→Runキー/タスク登録を連続するチェーン。
  • “ScreenConnect Client” サービス新規作成と同時期の不明FQDNへのTLS接続増加。
  • RMMのファイル転送イベントが“新規接続端末”をトリガに反復発生するパターン。
  • EDRの除外（ディレクトリ/プロセス）設定がRMM配布直後に追加される事象。

最後に、今回の脅威は「新規性」と「即時の現場適用可能性」を併せ持ちます。機能・宛先・証明書の“三点締め”は、コストに対して効果が大きく、MSP連携のプロセス整備と組み合わせることで、RMMの“ワーム化”を現実的なコストで抑止できます。運用の利便と安全を両立させる設計を、今日から具体的に始めることが肝要です。