正規RMM「MSP360」を悪用したフィッシング攻撃が発生、2重のリモート管理ツールで潜伏を図る手口をマイクロソフトが警告

要点

• マイクロソフトは、正規のリモート監視・管理（RMM）ツール「MSP360」のインストーラーを悪用する多段階のフィッシング攻撃を確認したと発表した。

• 攻撃者は会議の招待状や偽のPDF関連通知などを装って署名付きインストーラーを実行させ、侵入の足がかりを構築する。

• 端末内で特権昇格や自動起動設定、ファイアウォールの変更を行って永続的なアクセスを確立した上で、PowerShell経由で別のRMMツール「ScreenConnect」を追加導入する。

• 複数の正規管理ツールを併用することでアクセス経路を冗長化し、通常のIT管理業務のトラフィックに紛れて検知を逃れる狙いがある。

• 同様の攻撃ではMSP360の代わりに「Faronics Deploy Agent」を初期侵入に利用する事例も観測されているが、現時点で特定の攻撃グループへの特定はなされていない。

• 米マイクロソフトのセキュリティ研究チーム（Microsoft Security Research team）は、正規のリモート監視・管理ソフトウェア「MSP360」を悪用したフィッシング攻撃が確認されたとして注意を呼びかけている。攻撃者は会議の招待や偽のソフトウェア通知などを装って標的にインストーラーを実行させ、初期侵入を果たした後に別の管理ツールを追加導入していたという。この調査結果は、同社が2026年9月29日付で公開したセキュリティブログの中で明らかにしたものだ。

ソーシャルエンジニアリングを駆使した初期侵入の手口

マイクロソフトによると、この多段階の侵入攻撃は2026年7月に検知された。攻撃の起点となるのは、人間の心理的な隙や油断を突いて誘導を行う「ソーシャルエンジニアリング」を巧みに用いたフィッシングメールだという。

メールを通じて配布されるのは、デジタル署名が施された正規の「MSP360 RMM v2.5.0.67」インストーラーだ。しかし、受信者を信用させて実行を促すため、ファイル名は以下のように偽装されていた。

• VIP_ECARD_INVITATION_rmm_v2.5.0.67_oid[redacted].exe（招待状を装った名称）
• ZoomSetup_Installation_v2.5.0.67_ oid[redacted].exe（Web会議ツールのセットアップを装った名称）
• PDF Reader & Editor the Adobe Acrobatte_rmm_v2.5.0.67_ oid[redacted].exe（PDF閲覧・編集ソフトを装った名称）
• RSVP_INVITATION_E_CARD_rmm_v2.5.0.67_ oid[redacted].exe（イベント出欠確認のカードを装った名称）
• SSA.GOV_STATEMENT_rmm_v2.5.0.67_ oid[redacted].exe（米社会保障局の通知書を装った名称）

これらの不正なインストーラーパッケージは、攻撃者が管理する独自のインフラに加えて、Amazon S3、Cloudflare R2、Dropbox、GitLab、Supabaseといった広く知られる正規のクラウドサービス上にもホストされていた。信頼性の高いクラウド基盤を活用することで、配布元への警戒を和らげる構成が採られていた形だ。

特権昇格とシステムの永続化に向けた挙動

被害者がインストーラーを実行すると、複数のDLLファイルが展開されると同時に、Windowsのユーザーアカウント制御（管理者権限が必要な処理の実行時に警告画面を表示するUAC機能）の昇格ワークフローが呼び出される。インストーラー自身を特権コンテキストで再起動させることで、管理者権限を取得する仕組みだ。

続いてプログラムは端末内にインストールされている.NETランタイムを列挙し、MSP360の展開を開始する。この過程で、システム内には以下の変更が加えられることが確認された。

• Windowsサービスの登録: システム上で常時バックグラウンド動作するサービスとして、RMM.Agent.exe および RMM.Agent.Launcher.exe の2つを登録する。
• レジストリ自動起動の設定: レジストリ内に自動起動（autorun）エントリを作成し、ユーザーが端末にサインインした際にMSP360が自動的に起動するよう設定する。
• ファイアウォールの構成変更: Windows Firewallの設定を変更し、ポート48678宛てのMSP360（RMM.Agent.exe）に対するインバウンドUDPトラフィックを明示的に許可する。

これらの処理によって、攻撃者は信頼された正規の管理ソフトウェアを利用しながら、侵入先の端末へ継続的にアクセスできる環境を整える。

「デュアルRMM」による二重の遠隔経路と侵害後の活動

特筆すべきは、初期の足がかりを確保した後の展開だ。攻撃者は導入したMSP360を踏み台にし、PowerShellを実行して別のRMMツールである「ConnectWise ScreenConnect」のクライアントを密かにダウンロード・インストールしていた。

このように2種類のリモート監視・管理ツールを組み合わせる手口は「デュアルRMM」攻撃と呼ばれる。正規ツールを2つ重ねて配置することで、万一いずれかの通信が遮断された場合でも遠隔アクセスの経路を維持できる冗長性が確保される。さらに、攻撃に伴うトラフィックや操作が一般的なIT運用管理の作業フローに溶け込むため、セキュリティ監視による検知を難しくさせる効果があるという。

ScreenConnectの導入後は、同ツールが標準で備えているファイル実行機能「RunFile」が悪用され、追加の実行ファイルが送り込まれる。攻撃者はこの経路を通じてさらなる不正ツールを展開し、システム内部の情報収集や認証情報へのアクセスといった侵害活動を進めていたことが報告されている。

別の管理ツールを併用するパターンの存在と攻撃者の動向

マイクロソフトの調査では、2026年7月に別の攻撃パターンも観測されている。この事例では、最初の侵入経路としてMSP360ではなく「Faronics Deploy Agent」が利用されており、そこから同様にScreenConnectをダウンロード・インストールする手口が確認された。このことから、攻撃者は特定の製品に依存せず、複数のRMMツールを自在に組み合わせて侵入を図っている状況が浮き彫りとなっている。

マイクロソフトは今回の攻撃について、「脅威アクターが正規のリモート管理ソフトウェアを悪用し、永続的なアクセスを維持しながら通常のIT運用に紛れ込んで検知機会を減らそうとする継続的な傾向を示している」と分析している。また、MSP360とScreenConnectの組み合わせは冗長な遠隔管理経路をもたらし、その後のフェーズにおける追加ツールの転送・実行・管理を容易にしていたと指摘している。

なお、今回の一連の攻撃活動について、現時点では特定の既知の脅威アクターやサイバー犯罪グループへの帰属は特定されていない。