B
今週中
改造されたScreenConnectクライアントを使用した、ワームのような攻撃キャンペーン
📌 一言でいうと
改造されたScreenConnectクライアントを使用した、ワームのような攻撃キャンペーンが確認されました。攻撃者はソーシャルエンジニアリングや偽のテクニカルサポートを装い、被害者に悪意のあるクライアントをインストールさせます。その後、VBScriptを用いて他のエンドポイントへ感染を拡大させ、レジストリのRunキーを書き換えて永続性を確保します。
🔍該当判定
- リモートデスクトップ操作ソフト「ScreenConnect (ConnectWise Control)」を社内で利用している
- Windows標準の遠隔操作ツール「クイック アシスト (Quick Assist)」を社外の人とのサポート等で利用している
- 不審な電話やメールで「テクニカルサポート」を名乗る人物から、ソフトのインストールを指示された社員がいる
上記いずれにも該当しない → 静観でOK
✅該当時の対応
不審なリモートサポートツールのインストールを禁止し、身に覚えのないテクニカルサポートからの連絡を無視すること。また、エンドポイントでの不審なwscript.exeの動作やレジストリ変更を監視することを推奨します。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】偽のテクニカルサポートによる不正ソフト導入への注意
お疲れさまです。情報システム担当です。
偽のサポート担当者を装い、リモート操作ソフトをインストールさせてパソコンを乗っ取る攻撃が確認されています。
ご協力をお願いしたいこと:
1. 知らない相手から「PCのサポートが必要」と言われても、指示に従ってソフトをインストールしないでください。
2. 会社で許可されていないリモート操作ツール（ScreenConnectやQuick Assist等）を勝手に導入しないでください。
3. 不審なメールや電話があった場合は、すぐに情報システム担当まで報告してください。
対応期限: 本日中
お疲れさまです。情報システム担当です。
偽のサポート担当者を装い、リモート操作ソフトをインストールさせてパソコンを乗っ取る攻撃が確認されています。
ご協力をお願いしたいこと:
1. 知らない相手から「PCのサポートが必要」と言われても、指示に従ってソフトをインストールしないでください。
2. 会社で許可されていないリモート操作ツール（ScreenConnectやQuick Assist等）を勝手に導入しないでください。
3. 不審なメールや電話があった場合は、すぐに情報システム担当まで報告してください。
対応期限: 本日中
Subject: [Security Alert] Beware of Fake Technical Support Scams
Hi everyone,
We have observed attacks where hackers pose as technical support to trick users into installing remote access software to take control of their computers.
What we need you to do:
1. Do not install any software based on instructions from unknown individuals claiming to provide "technical support."
2. Do not install unauthorized remote access tools (e.g., ScreenConnect, Quick Assist) on your company device.
3. Report any suspicious emails or phone calls to the IT department immediately.
Deadline: Immediate
Hi everyone,
We have observed attacks where hackers pose as technical support to trick users into installing remote access software to take control of their computers.
What we need you to do:
1. Do not install any software based on instructions from unknown individuals claiming to provide "technical support."
2. Do not install unauthorized remote access tools (e.g., ScreenConnect, Quick Assist) on your company device.
3. Report any suspicious emails or phone calls to the IT department immediately.
Deadline: Immediate