ScreenConnectを悪用した4段階のVBScript攻撃が判明、接続ホストへワーム状に感染拡大

要点

• リモート管理ツール「ScreenConnect」を悪用し、4段階のVBScriptを介して多種多様なマルウェアを展開する攻撃が確認された。

• 攻撃者はサポート詐欺やフィッシング、偽の返金フォーム検索など多様な手口を用いて標的環境に不正クライアントを送り込む。

• 端末のメモリ容量や導入済みセキュリティ製品を調査した上で、バックドアや権限昇格ツール、暗号資産マイナーなどを状況に応じて配備する。

• 感染したクライアント端末に新たに接続してきた管理者側のホストに対しても同一のスクリプト群を送り込み、ワームのように感染を連鎖させる。

• 米サイバーセキュリティ企業のHuntressは2026年9月、リモートアクセスソフトウェア「ConnectWise ScreenConnect」を悪用した新たな攻撃活動の詳細を公表した。2026年8月に観測されたこのインシデントでは、多様な手口で標的端末に導入された不正なScreenConnectクライアントを起点に、4段階のVBScript（Visual Basic Script）チェーンを実行してシステムを侵害する。さらに、侵害された端末に新たに接続したリモート管理側のホストに対しても同様のスクリプトを自動配信し、ワームのように感染を広げるメカニズムが備わっていることが明らかになった。

サポート詐欺やフィッシングなど3つの異なる初期侵入手口

Huntressの報告によると、2026年8月に確認された3件の無関係なインシデントでは、それぞれ異なる初期侵入手法が用いられていた。攻撃者はいずれの手口でも最終的に不正なScreenConnectクライアントを標的端末へ配置し、悪意あるスクリプトを実行させる起点としている。

1つ目の事例では、テクニカルサポート詐欺を装ったソーシャルエンジニアリング攻撃が行われた。ユーザーを騙してWindows標準のリモート支援ツール「クイック アシスト（Quick Assist）」を実行させ、不正なScreenConnectクライアントを配備。このクライアントは「tele-sync.opik[.]net」（IPアドレス: 45.13.237[.]190）に設置されたC2（指令・統御）サーバーと通信を行い、4つのVBScriptファイルが格納されたRARアーカイブを取得していた。

2つ目の事例は、フィッシング攻撃を通じて配布されたとみられるMSI形式のインストーラー「ScreenConnect.ClientSetup.msi」が悪用されたケースである。導入されたクライアントはIPアドレス「131.123.40[.]98」のポート8041と通信するよう構成されており、導入直後にScreenConnectの一時ディレクトリから4つのVBScriptを実行した。

3つ目の事例では、米大手家電量販店のサポート窓口「Geek Squad」の偽の返金フォームを検索したユーザーが誘導され、不正な実行ファイル「ScreenConnect.Client.exe」を起動させられた。このセッションは「borertors92.anondns[.]net」へ接続し、Windowsのスクリプト実行エンジン「wscript.exe」を用いて一時フォルダから同様のスクリプト群を呼び出していた。

環境調査から多段展開する4段階のVBScriptチェーン

攻撃プロセスでは、1つ目のスクリプトが次のスクリプトを呼び出す形で、4つのVBScript（1.vbs〜4.vbs）が段階的に処理を進める。各段階の役割は明確に分離されており、セキュリティ製品の検知を回避しつつ慎重にペイロードを展開する構造となっている。

• 1.vbs（環境調査とプロファイリング）: 標的ホストの環境を詳細に調査する。搭載メモリ（RAM）が5GBを超えているか、既存のScreenConnectがインストールされているかを確認するほか、Cisco AMP、CrowdStrike、Huntress、Malwarebytes、SentinelOne、Sophos、Symantec Endpoint Protectionといったセキュリティ製品の稼働プロセスを列挙する。これらの調査結果は3ビットの状態値として %TEMP%\value.txt に出力される。例えば「000」という値は、既存のScreenConnectが存在せず、他社製セキュリティプロセスが稼働しており、Program Files配下にScreenConnectが存在しない状態を示す。
• 2.vbs（設定ファイルの取得）: %TEMP%\value.txt の生成を監視し、ファイル内に「abort」という文字列が含まれていないかを確認する。異常がなければ、クラウドストレージ「Dropbox」からファイルをダウンロードして内容をデコードし、%TEMP%\map.txt に書き込む。なお、このDropboxのURLは2026年9月2日時点でアクセスできなくなっており、取得されるペイロードの正確な中身は不明となっている。
• 3.vbs（ペイロードのダウンロード）: %TEMP%\map.txt の生成を待機し、1.vbsが記録した状態値に基づいて、テキストファイル内に指定されたDropboxのリンク先から該当するファイルを取得する。ダウンロードしたデータは暗号化ファイル %TEMP%\out.enc として保存される。
• 4.vbs（復号と最終実行）: %TEMP%\out.enc の配置を検知すると、PowerShellスクリプト %TEMP%\runner.ps1 を起動する。このスクリプトが out.enc を復号して %APPDATA%\Microsoft\Windows\Templates\Classic\sys_cache.zip に書き出し、第2ステージのPowerShellスクリプト「PyTorchFix.ps1」を実行する。

状態値に応じた3種類のペイロードと巧妙な痕跡消去

標的端末の調査結果（状態値）に応じて、攻撃者は少なくとも3つの異なる最終ペイロードを展開していることが判明している。

• 状態値 000 / 001: ユーザー権限レベルで動作するScreenConnectのバックドアを配備する。
• 状態値 010: ユーザーアカウント制御（UAC: 権限昇格時に表示される警告）を回避するUACバイパス機能と、システム内での永続化を確立するツールを配備する。
• 状態値 011: 外部ネットワークと通信経路を確立するトンネリングユーティリティ、および暗号資産（仮想通貨）のマイニングツールを導入する。

さらに、状態値が「010」または「011」に設定されている場合、4.vbsは4つのVBScriptファイルを「C:\Users\Public\Libraries\Default\Lib\Lib1」へ書き込む処理を行う。

攻撃の最終段階では、証跡を隠蔽するための処理も自動化されている。runner.ps1 は実行中のすべての wscript.exe や cscript.exe のプロセスを強制終了し、最終ステージのスクリプトを実行した後に作業用の一時ディレクトリを削除して痕跡を消去するという。

接続ホストへと自己拡散するワーム型の感染構造

本攻撃活動において特に注目されているのが、侵害された端末を足がかりに更なる感染拡大を図るワームのような振る舞いである。

状態値が010や011の場合に公開ライブラリ配下へスクリプトが配置されると、バックドア化されたScreenConnectクライアントは、新たなHost（管理者・接続元）からのセッション接続を検知するたびにコンテンツ配信機能として動作する。

Huntressは、感染したScreenConnectクライアントに接続したサーバー側のHostシステムに対し、クライアント側から同一の4段階VBScriptチェーンが送信・実行される仕組みになっていると説明している。これにより、サポート対応や管理目的で侵害端末に接続した管理者側システムへも自動的に感染が広がり、連鎖的な被害を引き起こす危険性がある。