要点
- 遠隔保守ツール ScreenConnect を使う環境で、少なくとも288台にマルウェアが入った。Huntress は第三者製拡張「RMM+」との関連を指摘しているが、侵入口は確認されていない。
- Huntress によると、この拡張は ScreenConnect のユーザー認証や MFA（パスワードのほかにスマホでも本人確認する仕組み）の外で動く。共有の鍵が空のままでも通る版がある。
- ConnectWise は、拡張が入っていた約400の環境で、同社が操作できる範囲の拡張を止めた。ただし、止めても入り込んだマルウェアは消えない。
何が起きたか
セキュリティ会社 Huntress の報告によると、2026年11月11日の17時47分ごろ（UTC。日本時間では12日の午前2時47分ごろ）、複数の ScreenConnect 環境の端末で不審な動きが始まった。90分ほどで、Huntress が守る48の組織の少なくとも288台が影響を受けた。うち3分の1は、最初の10分で当たっている。
攻撃者は ScreenConnect の「コマンド実行」機能を使い、多数の端末へ一斉に命令を送った。端末には、攻撃者が用意した別の ScreenConnect クライアントが入り、SCKit と呼ばれる16個のファイルの道具一式が置かれた。正規のクライアントを止め、攻撃者のものに入れ替えようとする作りだ。Huntress は、ブラウザの認証情報（セッション）を盗む機能もあるとしている。
Huntress は、この動きが、第三者が作った拡張機能 RMM+ に関連しているようだとしている。Huntress によると、1.0.31 と 1.0.32 では、共有の「アクセスキー」の初期値が空で、空のまま設定を忘れると、空の鍵で認証を通ってしまう。この拡張は ScreenConnect のユーザー、役割、MFA の外で動く。実際に、ログイン記録がないまま命令が届いていた。Huntress は、この作りが今回の観測と一致するとしている。数分のうちに、複数の ScreenConnect 環境の端末へ命令が届いた。ただし、侵入口として ConnectWise が確認したわけではない。
ConnectWise は advisory で、RMM Plus、RMM+、Labtech Plus、およびパスワードリンク拡張2種の計5つが入った約400の環境で、拡張を予防的に止めたと説明している。止められたのは、同社が操作できる環境に限られる。同社は、自社の基盤や ScreenConnect 本体の欠陥が原因だという証拠は見つかっていないとしている。約400という数は「拡張が入っていた環境」の数で、「侵害された環境」の数ではない。
SCKit には、保守担当者の端末へ広がる仕組みも組み込まれていた。だが Huntress は、これが成功した例は確認していない。
日本の利用者への影響
日本の被害は、今回の一次情報には出ていない。分からない。ScreenConnect は人気のある遠隔保守ツールだ。自社や保守の委託先が使っているかは、委託先に聞くのが早い。
今すぐやること
- ScreenConnect を自社で動かしているなら、拡張の一覧に RMM+、RMM Plus、Labtech Plus、パスワードリンク系が入っていないか見る。クラウド版は ConnectWise が止めたとしているが、止まっているかを確かめる。自社運用の版は、自分で止める必要がある。
- 導入の記録と操作の履歴（ログ）を保存する。ConnectWise は、拡張が止まっているかの確認と、記録・ログの保存を勧めている。止めたあとも、再び有効にしない。
- ScreenConnect に、見覚えのない一斉のコマンド実行や、同じ端末に2つ目のクライアントが入っていないかを確かめる。警報が出ていなくても見る。
- 怪しい端末には、ScreenConnect でつながない。Huntress はこれを勧めている。すでにつないだ保守担当者の端末は、危ないものとして扱う。
- 保守を委託しているなら、委託先に「RMM+ 系の拡張を使っていたか」「止めたか」「履歴を調べたか」を聞く。侵害が見つかったら、ScreenConnect の資格情報を替え、ブラウザやアカウント基盤のログイン状態も取り消す。
背景
今回、ConnectWise は ScreenConnect 本体の欠陥や自社基盤の侵害の証拠は見つかっていないとしている。Huntress は、第三者の拡張機能の認証の作りに注目している。拡張は便利だが、本体の守りの外で動くことがある。
Huntress によると、2026年9月にも、不正な ScreenConnect クライアントが広がる似た動きがあり、ConnectWise が CVE-2026-84869（ファイル転送の欠陥。CVSS 9.9）を直している。今回との関係は、一次情報では述べられていない。
なお、Huntress は SCKit のコードの一部を、AI が書いたように見えると述べている。これも推測である。
技術者向けの詳細
- 影響:RMM+ 1.0.31 / 1.0.32。設定
RMMPlus.AccessKeyの初期値が空で、空の鍵が認証を通る。Huntress が影響を受けるとして挙げる ScreenConnect の版は 26.6.6.9747 と 26.7.6.9783。 - ConnectWise が止めた拡張:Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link、RMM+ Password Link。
- 侵入の跡（ファイル）:
C:\Windows\TEMP\sc.msi、C:\Windows\Temp\sckit-run.bat、sckit-decoder.ps1、%TEMP%\sckit-loader.ps1、C:\ProgramData\RelayTrap\、%PUBLIC%\RELAY-TRAP-PROOF.txt - 居座り:スケジュールタスク
TrapWatch（SYSTEM）、Run キーRelayTrapLiteAlert、Defender の除外追加、正規 ScreenConnect サービスの手動起動化。 - 管理画面の跡:Run Command と Toolbox の履歴、監査ログ。参加者名
Addmin、不正クライアント ID2588ef5c15954b10、ed630cc2c873b091。 - 通信先（Huntress 公表、無害化表記）:
185.99.255[.]28、newnewnew.gotdns[.]org、sc.payproofkit[.]com、soxnewwork.homedns[.]org、cdn007-digitaldownloads[.]com、ns.mo7sen[.]dev - 掃除:不正サービス、
TrapWatch、RelayTrapフォルダ、上のファイルと Run 値を消す。端末の隔離だけでは永続化は消えず、隔離解除後に再感染した例がある。接続は EDR のライブ対応や WinRM など、ScreenConnect の外から行う。 - ハッシュは、スクリプトが毎回作り直されるため弱い指標。全一覧は Huntress のブログを見る。
- 拡張の削除手順は ConnectWise のドキュメントを参照。
