偽のAdobe・Zoom更新で遠隔操作ツールを設置、企業狙う攻撃「SMOKE#SCREEN」に注意

要点

• AdobeやZoomの偽アップデートなどを装い、正規のリモート管理ツール「ConnectWise ScreenConnect」を無断インストールさせる攻撃が活発化している。

• セキュリティ企業Securonixが「SMOKE#SCREEN」と名付けたこのキャンペーンは、現在も進行中である。

• 攻撃者はDropboxやCloudflareなどの正規サービスを悪用し、セキュリティ監視を巧妙に回避している。

• 不審なファイルの実行制限や、セキュリティ機能の無効化プロセスの監視といった対策が推奨されている。

• 米セキュリティ企業Securonixの脅威研究チームは2026年8月4日、AdobeやZoomのアップデートやビジネス文書の確認を装い、正規のリモート監視・管理（RMM）ツールをインストールさせるサイバー攻撃キャンペーン「SMOKE#SCREEN」を発見したと発表した。RMMツールとは、管理者が遠隔地からシステムを保守・管理するためのソフトウェアである。攻撃者はこれを悪用し、標的への持続的な遠隔操作権を確保している。正規ツールを使うことで、企業の監視をすり抜け、通常の業務トラフィックに紛れ込ませる狙いがある。なお、実行アクターは特定されていない。

• RMMツールの悪用は近年増加している。広く普及している正規のIT管理ツールを利用することで、企業のセキュリティ監視をかいくぐり、通常の業務トラフィックに紛れ込ませることができるためだ。Securonixの報告によると、今回のキャンペーンを実行している具体的な攻撃グループは現時点で特定されていない。

• 調査は、C2（コマンド＆コントロール：感染PCに指示を送る制御用）サーバーとして機能する「WsgiDAV」サーバーの発見から始まった。このサーバーは、悪意あるプログラム（ペイロード）の配信と、感染PC内のScreenConnectからの通信（ポート8041を使用）の受信を担う。解析により、偽のアップデートや文書表示ソフトを装った3つの異なる通信先サーバー群が判明している。

• 初期侵入には、特定の個人を狙ったメールを送る「スピアフィッシング」が用いられる。メールを通じて、まず難読化（コードの意図をわかりにくくする処理）されたVBScriptドロッパー（外部から不正プログラムをダウンロードして実行するスクリプト）が起動する。このプログラムは起動直後に、ネットワーク監視ツール「Wireshark」や「Process Monitor」、仮想化ソフト「Oracle VM VirtualBox」「Broadcom VMware Tools」「Citrix XenServer」、通信解析ツール「Fiddler Classic」などの動作を調べる対解析チェックを行い、検知した場合は即座に動作を中止する。チェックを通過すると、暗号化されたPowerShellコマンドを復号し、外部サーバー（IPアドレス207.189.11.170）から追加のプログラムをダウンロードして実行する。

• また、圧縮されたアーカイブから起動されるバッチスクリプトにより、セキュリティ機能を無効化する手法も確認された。スクリプトは、Windowsのウイルススキャン用インターフェースであるAMSI（Antimalware Scan Interface）を無効化し、管理者権限を求めるUAC（ユーザーアカウント制御：不正なシステム変更を防ぐ確認機能）プロンプトで権限を昇格させる。その後、レジストリ変更でSmartScreen保護を無効化し、ダウンロードしたファイルからインターネット起源を示すマーク（Zone.Identifier）を削除してScreenConnectを実行していた。

• 攻撃者は、セキュリティ製品の検知を避けるためにインフラや配信方法を変更している。初期の攻撃では、Zoomのアップデートを装う偽のWebページから、多くの企業でアクセスが許可されているオンラインストレージ「Dropbox」の共有リンクを介してプログラムをダウンロードさせていた。これにより、ドメインの信頼性に基づくフィルタリングを容易にすり抜けることができる。また、Cloudflareの一時的なローカルサーバー公開機能「Cloudflare Quick Tunnel」を悪用し、監視の対象になりにくい一時的なトンネルを介してプログラムを標的に送り届ける手法も確認されている。

• Securonixは「本キャンペーンは攻撃者と防御側のリアルタイムな技術競争の構図を体現している」と指摘する。当初は暗号化されたVBScriptを用いる慎重な手法だったが、その後Windows Defenderを強制停止する攻撃的な手法へ移行。最近では検知を避けるために実行タイミングを調整する「抗EDR（EDR回避：端末上の不審な挙動を検知して対処する製品の監視から逃れる技術）」手法や、実行ファイル自体に暗号化データを内包するステルス性の高い手法へ回帰しているという。

• 脅威への対策として、Securonixは組織に対していくつかの推奨事項を提示している。まず、信頼されていないMSI形式のインストーラーファイルの実行を制限すること、セキュリティ製品の動作を停止させようとする不審な挙動を監視すること、そして組織内でRMMツールが正規に利用されているかを監査することが重要である。また、不審なPowerShellやコマンドプロンプト（cmd.exe）のプロセスがないか確認することや、標準ユーザーが管理者権限のプロンプトを承認できないよう厳格なUAC設定を適用することも推奨されている。