ScreenConnect：攻撃者が不正クライアントとSCKitマルウェアを288台の管理対象エンドポイントに配布

何が起きたか

2026年11月12日、ConnectWiseはパートナー環境で不正アクセスの報告を受けて予防措置として、サードパーティ製のScreenConnect拡張機能5件を無効化しました。ConnectWiseは、ScreenConnectソフトウェアに脆弱性は見つかっておらず、自社インフラへの侵害もないと説明しています。現時点の初期評価では、パートナー環境に導入された独立したサードパーティ製拡張機能が脅威アクターに悪用されている可能性があるとのことです。侵入経路と被害の全容は、現在も調査中です。

Huntressも今回の活動を追跡しており、2026年11月11日の協定世界時17:47頃に最初に検知したとのことです。Huntressによると、攻撃者はクラウドホストされたScreenConnectパネルへのアクセスを利用してRunコマンドを送信しました。これらのコマンドにより、48の組織にある少なくとも288台の管理対象エンドポイントに不正なScreenConnectクライアントが導入されました。Huntressは新たな脆弱性の証拠は確認していません。現時点のデータからは、認証情報の窃取または乗っ取られたオペレーターセッションが侵入経路として示唆されています。

不正クライアントは、カスタムの悪意あるツールキットであるSCKitを配布します。SCKitは、元のパネルがなくてもリモートアクセスを維持します。また、Microsoft Defenderの除外設定を追加し、攻撃者が管理する2つ目のScreenConnectクライアントをインストールし、「TrapWatch」という名前のスケジュールタスクを作成します。さらに、正規のScreenConnectインストールを攻撃者が管理するコピーに置き換えることもできます。

Huntressはペイロードを解析し、さらに拡散させるためのコードを確認しました。技術者が感染したエンドポイントに接続すると、そのコードは技術者のワークステーションから.aspxauthセッションCookieを窃取し、そのCookieを他のパネルで使用して、共有ツールボックスを通じて到達可能なすべてのセッションにペイロードを送信するとみられます。Huntressは、この拡散がまだ成功した事例は確認していないとしています。Sophosも、同じパターンに従う不正なScreenConnectクライアントの導入を別途報告しています。

影響を受ける対象

ConnectWise ScreenConnectを使用してエンドポイントやサーバーを管理している組織、主にMSPやITサービスプロバイダーが対象です。これまでに確認された攻撃では、クラウドホストされたScreenConnectパネルが使われています。ConnectWiseは、次のいずれかの拡張機能が1つ以上導入されているパートナー環境を約400件確認しています。

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

これらの拡張機能は、リモートコマンドを実行できるAPIを提供します。このAPIへのアクセスは、パートナーが設定時に設定するパスフレーズで保護されています。ConnectWiseは、これらの拡張機能のいずれかが導入されていることが、侵害されていることを意味するわけではないと強調しています。ScreenConnectの脆弱性は特定されていないため、適用すべきパッチもありません。Huntressは、攻撃者が侵害したMSPに連番を振っており、確認された番号は途中から始まっていると指摘しています。そのため、他のMSPがそれより前に被害を受けている可能性があります。このため、Huntressはアラートが出ていない場合でも、すべてのScreenConnectユーザーにRunコマンド履歴を確認するよう勧めています。

今すぐ行うこと

1. オンプレミスでScreenConnectを運用している場合は、ConnectWiseの指示どおり、上記の拡張機能5件を無効化してください。ConnectWiseが安全だと発表するまで、再び有効にしないでください。
2. 技術者のワークステーションと管理対象エンドポイントで、セキュリティ対策（EDR、アンチウイルス）が稼働していることを確認してください。チームの誰も追加していないMicrosoft Defenderの除外設定がないか確認してください。
3. 何かを変更する前に、ScreenConnectの監査ログとセッションログ、および不審な活動を示すその他のログを保存してください。
4. すべてのScreenConnectオペレーターのパスワードをリセットし、有効なオペレーターセッションを終了させ、すべてのアカウントで多要素認証が有効になっていることを確認してください。拡張機能のAPIのパスフレーズも変更してください。
5. すべてのパネルで管理者アカウントと権限を確認してください。説明できないアカウントや権限は削除してください。
6. 不正なScreenConnectクライアントやSCKitの痕跡があるエンドポイントは、侵害されたものとして扱ってください。隔離して調査し、信頼できる状態に戻す前にクリーンアップするか再構築してください。また、そのエンドポイントに接続した技術者のワークステーションも確認してください。

被害の有無を確認する方法

• ScreenConnectパネルのRunコマンド履歴を確認し、チームの誰も実行していないコマンドがないか調べてください。特に2026年11月11日以降を重点的に確認してください。また、予期しない拡張機能のインストール、ツールボックスの活動、共有ツールボックスの項目もあわせて確認してください。
• 通常と異なる場所からのサインイン、繰り返される失敗したログイン、予期しないMFAの要求、新しい管理者アカウント、権限の変更がないか確認してください。
• エンドポイントでは、自社のインスタンスに属さないScreenConnectクライアントや、承認していない他のリモートアクセスソフトウェアがないか確認してください。Sophosは、この活動をScreenConnectインスタンスID d905b2b1b165d0a9、4b8f4089ddaac6a9、df1f7ef0cfacd0d8、および追加のインスタンスID 2588ef5c15954b10、ed630cc2c873b091に関連付けています。
• エンドポイントで「TrapWatch」という名前のスケジュールタスクと、次のファイルを検索してください: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe, Sqlite3.exe。Sophosは、curl.exeがScreenConnect.ClientSetup.msiをC:\Windows\TEMP\sc.msiにダウンロードし、その後msiexec.exeがサイレントでインストールしている事例も確認しています。
• ファイアウォール、プロキシ、DNSのログで、IPアドレス185.99.255[.]28と155.94.150[.]39を検索してください。また、次のドメインも検索してください: ns[.]mo7sen[.]dev（パス /EadF.php?p=4 を含む）、sc[.]payproofkit[.]com、cdn007-digitaldownloads[.]com、newnewnew[.]gotdns[.]org、Soxnewwork[.]homedns[.]org。
• 通常信頼しているチャネルを通じて届く、予期しないサポート依頼、パスワードリセットの通知、ソフトウェアのダウンロードに注意してください。

これらの痕跡が見つかった場合は、ConnectWiseに報告し、影響を受けたパネル、技術者のワークステーション、エンドポイントを侵害されたものとして扱ってください。

2026年11月14日 更新

研究者らは、攻撃者がどのように侵入したのかについて、有力な説明を示しています。Huntressによると、RMM+拡張機能はScreenConnectのユーザーアカウント、ロール、MFAを経由せず、代わりに拡張機能の設定に保存された共有アクセスキー1つを使ってリクエストを確認します。BleepingComputerとThe Registerは、RMM+のバージョン1.0.31および1.0.32に欠陥があると報じています。アクセスキーが設定されていない場合、これらのバージョンは空のキーを受け入れます。このため攻撃者は、ScreenConnectにサインインすることなく、またMFAを通過することなくコマンドを実行できました。したがって、RMM+が有効なままのインスタンスでは、オペレーターのパスワードをリセットしてMFAを有効にしても保護されません。修正済みバージョンの拡張機能は、まだ発表されていません。

• すべてのインスタンス（オンプレミスサーバーを含む）でRMM+および関連拡張機能が無効になっていることを確認してください。ConnectWiseはオンプレミスのサーバーについては無効化を代行できません。

• サインインログに不審なログインが見当たらない場合でも、RMM+経由で送信されたコマンドがないか、Run Commandの履歴を確認してください。

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

出典

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html