改変ScreenConnectが新規接続先にVBScriptを自動転送 — ワーム状の拡散活動をHuntressが報告

マネージド検出・対応を手がけるHuntressは2026年9月3日、無関係の複数の組織で同一パターンの不審な活動を確認したと公表した。攻撃者が持ち込んだ不正なScreenConnectクライアントが、新たに接続してきた端末に対して4件のVBScript（1.vbs〜4.vbs）を自動で転送・実行させる。Huntressはこの振る舞いをワーム状の拡散活動として追跡し、開発元のConnectWiseとも情報を共有している。

8月下旬に3件の事案 — 共通する不正クライアントと永続化

HuntressのSOC（セキュリティオペレーションセンター）は2026年8月下旬、別々の組織で3件の重大インシデントを検知した。いずれも正規の管理経路とは無関係に導入されたScreenConnectクライアントが、子プロセスとしてWindows Script Host（wscript.exe）を繰り返し起動し、4件のVBScriptを実行していた。

3件の事案には共通点が多い。攻撃者はユーザーのAppDataフォルダー内のVBScript（WindowsServiceHost.vbs）を指す自動実行レジストリ（WindowsServiceHost）を作成し、再起動後も活動を継続できるようにしていた。一部の端末ではUltraViewerなど別の遠隔管理ツールも確認されている。

侵入の起点はいずれもソーシャルエンジニアリングだった。8月20日の1件目の事案では、利用者がWindows標準の遠隔支援機能Quick Assistを実行し、技術支援詐欺の手口で攻撃者に操作を許した直後、不正なScreenConnectクライアントが導入された。このクライアントは攻撃者の管理サーバー（45.13.237[.]190）と通信するよう設定されていた。同日別組織の2件目の事案では、フィッシングをきっかけに利用者がEdgeのダウンロードフォルダー内のインストーラー（ScreenConnect.ClientSetup.msi）を実行し、不正クライアントが導入された。8月24日の3件目の事案では、利用者がGeek Squadの返金フォームを検索する中でだまされ、不正クライアント（ScreenConnect.Client.exe）を実行させられた。

4段階のVBScriptチェーン — 環境を見分けて次のペイロードを選択

Huntressが回収した4件のスクリプトは段階式のローダーとして機能する。1件目の1.vbsは感染端末の状態を調べ、3ビットの状態変数を作って一時フォルダーのvalue.txtに書き込む。1ビット目は既存のScreenConnectの有無、2ビット目は導入済みセキュリティ製品の種類（Huntress、CrowdStrike、SentinelOne、Sophosなどが見つかれば特定の値、Microsoft Defenderのみなら別の値）、3ビット目はメモリー容量（5GB超か）とProgram Files内のクライアント有無で決まる。メモリー容量の確認は、研究用の仮想マシンではなく実機で動作しているかを判別する狙いとHuntressは分析している。

2件目の2.vbsはvalue.txtを確認し、「abort（中止）」の記載がなければDropbox上のファイルをダウンロードする。ファイルはBase64と1バイトXORで難読化されており、復号すると次の段階の取得先カタログ（map.txt）になる。3件目の3.vbsは状態変数に対応する行をmap.txtから探し、Dropboxから該当の圧縮ファイルを取得する。状態値によって内容が変わり、ユーザー権限のScreenConnectバックドア、永続化と権限昇格の道具一式、トンネル通信ツールと暗号資産採掘ツールのいずれかが送り込まれる。4件目の4.vbsは暗号化ファイルをAESで復号し、ZIPを取り出して後続のPowerShellスクリプト（PyTorchFix.ps1）を実行する。その後、wscript.exeとcscript.exeのプロセスを終了させ、作業用ファイルを削除して痕跡を消す。

Huntressが解析した権限昇格用のパッケージには、UAC（ユーザーアカウント制御）を迂回する仕組みが含まれる。内蔵したC#コードからPassword.exeを生成し、ms-settingsプロトコルハンドラーの乗っ取りとWindows標準のComputerDefaults.exeを組み合わせて管理者権限の取得を試みる。AMSI（マルウェア対策スキャンインターフェイス）の無効化、Microsoft Defenderの除外パス追加、隠蔽したScreenConnectクライアント（ID 7a4d7d66502d4260）の導入とサービス情報の秘匿化も行う。採掘用のパッケージには、XMRigを改名した採掘プログラム、通信トンネル工具、Defender報告機能の無効化、正規ドライバーの悪用（WinRing0をsvcdrv64.sysとして配置）が含まれる。

ワーム状の拡散 — 新規接続の検知と自動実行

この攻撃チェーンで最も特徴的なのは、改変されたScreenConnectクライアント自体が拡散装置として働く点だ。回収された不正クライアントは、ScreenConnectの接続状態を常時監視し、新しいホスト接続を検知すると、あらかじめ用意した4件のスクリプトをファイル転送機能に登録して「実行」指示付きのメッセージとして送り込む。接続先のホスト側で同一の4段階チェーンが実行され、感染が広がる。

クライアントは標的にした接続IDを記録して同じセッションへの重複送信を避ける一方、切断後はその記録を消去する。このため、再接続時には再び感染が試みられる。Huntressは、感染したクライアントに接続したホスト側が同一チェーンを受け取って実行すると説明している。

なお、Huntressは9月3日の追記で、ConnectWiseが同日にScreenConnect Remote Accessのファイル転送の挙動に関するアドバイザリを公開したことにも触れている。ConnectWiseはCVE番号と正式な修正版を週内に公開する方針を示し、それまでの緩和策としてファイル転送権限の無効化を案内している（本サイトでも2026年9月7日付で同アドバイザリの内容を伝えている）。Huntressが観測したワーム状の活動はこのファイル転送機能を悪用しているが、侵入自体はソーシャルエンジニアリングによる不正クライアントの持ち込みが起点であり、脆弱性の悪用とは切り分けて理解する必要がある。

Huntressが示す対応 — 再イメージ化と監査ログの確認

Huntressは攻撃チェーンの複雑さを踏まえ、影響を受けた端末は既知の正常な媒体からの再イメージ化、またはOSのクリーンインストールを強く推奨している。管理者に対しては、環境内のオンプレミス版ScreenConnectに通常以上の注意を払うよう求めている。

具体的な検出の手がかりとして、HuntressはScreenConnectサーバーの監査ログを確認するよう呼びかけている。RunFilesまたはRanFilesの記録に、不審な1.vbs〜4.vbsの実行がProcess: Guest（ゲスト側プロセス）からの実行として残っていれば、直ちに疑わしいと判断し、当該端末の初期化を検討すべきだとしている。ファイル名は今後変更される可能性があるため、Windows Script HostやPowerShellスクリプトの実行全般に注意を払うよう付け加えている。

遠隔管理ツールの不正利用は、同社がこの1年間で目にしてきた主要な攻撃経路の一つだとHuntressは述べている。正規の管理ツールと見分けがつきにくい接続が環境内にないか、監査ログの確認が欠かせない。