フィッシング攻撃者がエンドポイント管理ツールを悪用しリモートサポートソフトを設置

フィッシング攻撃者は7月21日から8月20日の間に457台以上のエンドポイントを標的とし、エンドポイント管理プラットフォームを通じてリモート管理権限を取得し、リモートサポートソフトウェアを導入した。

攻撃者はメールに請求書や税務書類といった偽のファイルを添付し、悪意のあるリンクを付加した。リンクをクリックした被害者は署名付きインストールパッケージのダウンロードへ誘導され、インストールが実行されるとデバイスは攻撃者が管理する環境に登録され、PowerShellスクリプトで追加ツールが取得され、続いてリモートサポートソフトウェアがインストールされた。

プラットフォーム提供者は8月5日に事態を確認し、悪用防止策を追加した。この対策以降、攻撃は8月21日から顕著に減少した。専門家は C:\ProgramData\...\Logs\ScriptRunner.log ファイルと予期しないリモートサポートのインストールを確認するよう推奨している。