最近の業界レポートによると、正規のRMMおよびリモートアクセスツールを悪用して被害者のシステムに不正アクセスするフィッシングキャンペーンが明らかになりました。Splashtopはこのキャンペーンで攻撃者によってインストールされたツールの一つでしたが、これはSplashtopの脆弱性や侵害ではなく、ソーシャルエンジニアリングによる誤用であることを明確にすることが重要です。
この攻撃では、サイバー犯罪者が受信者を騙してRMMとリモートアクセスソフトウェアをダウンロードさせます。インストールされると、ソフトウェアはハッカーに持続的なリモートアクセスを提供し、まるで認可されたIT管理者であるかのように操作できるようになります。この戦術により、攻撃者は従来のマルウェア検出を回避し、正当なネットワーク活動に溶け込むことができます。
このブログでは、攻撃がどのように機能するか、正当なリモートアクセスツールがなぜ標的にされているのか、そして環境での誤用を防ぐために何ができるかを説明します。
攻撃の仕組み
このフィッシングキャンペーンは、受信者を騙して攻撃者の管理下にある正当なリモートアクセスツールをインストールさせるための明確な手順に従います。
1. フィッシングメールの配信
攻撃者は、Microsoft OneDriveのファイル共有通知のように見えるメールを送信します。これらのメッセージは、信頼性を高めるために、侵害されたMicrosoft 365アカウントから送信されます。
2. 悪意のあるファイルホスティング
メールリンクは、Discordのコンテンツ配信ネットワーク（CDN）にホストされている悪意のあるMSIインストーラーにターゲットを誘導します。よく知られたサービスにファイルをホストすることで、一部のセキュリティフィルターを回避するのに役立ちます。
3. 正当なRMMおよびリモートアクセスツールのインストール
実行されると、インストーラーは静かに設定を行います:
Splashtop Streamer
Ateraエージェント
.NET Runtime 8のようなサポートコンポーネント
複数のツールをインストールすることで持続性を確保します。1つのアプリケーションが検出されて削除されても、他のアプリケーションがアクセスを提供し続けることができます。
4. リモートアクセスとコントロール
ツールが揃っていると、攻撃者は次のことができます：
システムにリモートでアクセスする
ファイルやデータを移動
ITスタッフとして認可されたかのようにコマンドを実行します
なぜ攻撃者は正当なリモートアクセスツールを使用するのか
リモートアクセスソフトウェアとRMMソフトウェアは、ITチームがデバイスを安全に管理し、問題をリモートでトラブルシューティングし、どこからでも更新を実 行できるように設計されています。これらの同じ機能は、悪用されると攻撃者にとっても魅力的なものになります。
通常の活動に溶け込む：ソフトウェアは信頼され、多くの環境ですでに存在していることが多いため、そのインストールは即座に疑念を引き起こさないかもしれません。
従来のマルウェア検出を回避 – セキュリティツールは、正当なデジタル署名されたアプリケーションを、未知の実行ファイルと同じようにはフラグしないかもしれません。
システム全体の制御を付与 – インストールされると、これらのツールは認可されたIT管理者と同じレベルのアクセスを提供します。
持続性を確保 – （このキャンペーンで見られるように）複数のツールを展開することで、1つが削除されてもアクセスを維持できます。
ソフトウェアの欠陥によるものではありません
この種の誤用は、ソフトウェアの脆弱性によって引き起こされるものではありません。代わりに、それは成功したソーシャルエンジニアリングから生じます。攻撃者の最大の武器は、誰かにツールをインストールさせ、通常のITコントロールを回避することです。
攻撃が成功するためには、いくつかのステップが一致する必要がありました:
フィッシングメールがターゲットを悪意のあるリンクをクリックするように誘導しました。
被害者は偽装されたインストーラーをダウンロードして実行しました。
ソフトウェアはITの承認なしにインストールされ ました。
攻撃者は新たにインストールされたソフトウェアに接続しました。
これらのステップのいずれかがブロックされると、攻撃は失敗します。そのため、強力なフィッシング防御、インストール制御、アカウントセキュリティ対策が不可欠です。
環境内でのSplashtopの悪用防止
このキャンペーンでソフトウェア自体が悪用されたわけではありませんが、組織は攻撃者が正当なソフトウェアを悪用するのを非常に困難にするための積極的な手段を講じることができます：
エンドポイント管理ポリシーを通じて承認された管理者にソフトウェアのインストールを制限
従業員を教育し、フィッシングの試みを見分ける方法を教えます。特に疑わしいファイル共有リンクに注意を払います。
スタッフにリマインド予期しないメールからインストーラーをダウンロードしたり実行したりしないように、たとえ内部のソースから来たように見えても。
迅速な報告を奨励し、疑わしいメッセージや予期しないリモートアクセスのプロンプトを報告します。
これらの対策を組み合わせることで、フィッシングメールが通過しても、攻撃者がアクセスを得るのを防ぐ複数の安全策が立ちはだかります。
詐欺、フィッシングの試み、または不正なリモートアクセスの事案でSplashtopが悪用されていると思われる場合は、弊社チームがそのアクティビティを確認できるよう、reportabuse@splashtop.com までご報告ください。
Splashtopがアクセスを保護する方法
Splashtopには、誰がどこからどのような条件で接続できるかを組織が制御できるように設計されたセキュリティ機能が組み込まれています。適切に設定されている場合、これらの機能は攻撃者がプラットフォームを悪用するのをはるかに困難にします。
主要なセキュリティ機能には次のものが含まれます：
多要素認証（MFA）でユーザーの身元を確認してからアクセスを許可します。
シングルサインオン（SSO）統合による集中アクセス制御と企業認証ポリシーの施行。
Role-based access controlsは、管理者が職務に基づいて権限を制限できるようにします。
デバイス認証により、承認されたマシンのみが接続できるようにします。
セッションのログ記録と録画は、誰が何にいつアクセスしたかの可視性を提供します。
詳細な設定コントロールで、Splashtop Streamerのインストールを承認されたシステムに制限します。
セキュリティへのコミットメント
Splashtopはセキュリティを重視しており、製品に関与するサイバー脅威の報告を注意深く監視しています。たとえその活動が脆弱性ではなく誤用の結果であってもです。私たちは、顧客やパートナーとの信頼を維持するために透明性が重要であると信じています。
私たちのセキュリティとエンジニアリングチームは、潜在的な悪用シナリオを継続的に評価し、検出能力を強化し、Splashtopを安全に 構成するためのガイダンスを提供します。新しい脅威インテリジェンスが出現した際には、製品機能、既定設定、または顧客教育資料に変更が必要かどうかを評価します。
Splashtopが認可された管理者によって設定および管理されると、リモートアクセスのための安全で信頼性の高いプラットフォームとして機能します。組織は、組み込みのセキュリティ機能をエンドポイント保護やユーザー意識向上トレーニングと組み合わせることで、誤用のリスクを大幅に減少させることができます。
Splashtop製品を探索し、お問い合わせして、私たちのソリューションとセキュリティについて詳細はこちら。
