正常ツールに偽装した攻撃、AhnLab EDR はどう検知するのか

エンドポイント攻撃は、マルウェアそのものよりも、実行後にどのような行為が続くかによって被害規模が変化する。セキュリティ担当者にとっては、脅威を早期に認識し、攻撃の流れを追跡して原因を把握できる検知・分析ベースの対応体制が重要である。特に正常ツールを悪用した攻撃は、単なる実行有無だけでは脅威を識別しにくいため、行為ベースで異常を把握するアプローチが求められる。

AhnLab EDR は、エンドポイントで発生する疑わしい行為を基盤として脅威を検知し、攻撃の流れを可視化して対応判断を支援する。本稿では、AhnLab EDR が実際の攻撃をどのように検知・可視化するかを示すため、最近確認されたRMM（Remote Monitoring and Management）ツール悪用事例を取り上げる。

텍스트, 노트북, 정보기기, 사람이(가) 표시된 사진 AI 생성 콘텐츠는 정확하지 않을 수 있습니다.

EDRベースの脅威モニタリングが必要な理由

近年、攻撃者は正常ツールとしても利用されるRMMを悪用し、感染システムを遠隔操作したり追加マルウェアを配布することで攻撃を拡大している。問題は、これらのツールが業務環境で利用される場合も多く、正常ソフトウェアとして分類されることがあるため、従来型アンチウイルスのみでは脅威判定や対応が困難である点にある。

このため、組織は特定ツールのインストールや実行有無を確認するだけでなく、エンドポイントで発生する疑わしい振る舞いをベースとして、実行状況やその後の攻撃フローまで追跡できるEDRモニタリング体制を構築する必要がある。

AhnLab EDR は、韓国国内唯一の振る舞いベース分析エンジンを搭載し、強力な脅威モニタリング・分析・対応能力を提供する次世代 EDR ソリューションである。

実際に確認された攻撃の流れを基に、RMMツールがどのように悪用されたのか、そしてAhnLab EDRがこれらの脅威の兆候をどのように検知したのかを示す代表的な事例を整理したものである。

事例1. 偽ユーティリティ配布ページによるRMMインストール誘導

2025年11月、RMM ツールである LogMeIn Resolve および PDQ Connect を悪用した攻撃が確認された。攻撃者は Notepad++や 7-zip などの正常ユーティリティ、さらには Telegram や ChatGPT、OpenAI を偽装したダウンロードページを用意し、ユーザーに LogMeIn Resolve をダウンロードさせた上で、情報窃取機能を持つ追加マルウェアをインストールした。

図1. 偽装ユーティリティのダウンロードページ

LogMeIn Resolve は遠隔支援、パッチ管理、モニタリング機能を提供する RMM ツールであり、インストール後は LogMeIn のインフラに登録される。攻撃者はこれを利用して対象システムを遠隔操作し、PowerShell コマンドを実行してバックドア型マルウェア PatoRAT を導入した。PDQ Connect も同様に悪用され、PatoRAT がインストールされた事例が確認されている。

参考に、PatoRAT は LogMeIn Resolve だけでなく、PDQ Connect によってもインストールされた。PDQ Connect も LogMeIn Resolve と同様に、ソフトウェアパッケージの配布、パッチ管理、インベントリ、リモートコントロールなどの機能を提供する RMM ツールである。攻撃者は PDQ Connect をインストールするように誘導した後、LogMeIn Resolve と同様に PDQ Connect を悪用して PatoRAT をインストールした。

図2. PDQ Connect を利用したマルウェアインストールログ

AhnLab EDR では、システムに LogMeIn と PDQ Connect が実行される振る舞いを脅威として検知し、管理者が事前に認知できるようにサポートする。

ダイアグラムが含まれている画像 AI 生成コンテンツは誤りを含む可能性があります。

図3. AhnLab EDR を活用した LogMeIn 実行振る舞い検知

グラフィカルユーザーインターフェイス, テキスト, アプリケーション AI 生成コンテンツは誤りを含む可能性があります。

図4. AhnLab EDR を活用した PDQ Connect 実行振る舞い検知

事例2.正常 PDF に偽装したフィッシングメールによる RMM 拡散

2026年1月、フィッシングメールを通じて Syncro, SuperOps, NinjaOne, ScreenConnect など複数のRMMツールが拡散された事例が確認された。攻撃に使用されたPDFファイルは「Invoice」「Product Order」「Payment」といった業務関連キーワードを含む名称で偽装され、受信者の警戒心を低下させる手法であった。実行すると「高画質のためプレビュー不可」と表示され、Google Drive リンクのクリックを誘導する構成であった。

図5.攻撃に使用された PDF マルウェア

このような攻撃によって拡散されたマルウェアは、Syncro という名前の RMM ツールである。Syncro RMM は、Managed Service Provider(MSP) および IT チーム向けの遠隔モニタリングおよび管理ツールであり、Chaos、Royal のようなランサムウェア攻撃者だけでなく、イランの APT 脅威グループである MuddyWater が使用した事例も知られている。

図6. Syncro 社のホームページ

同じ証明書で署名されたマルウェアを見ると、これ以外にも様々な RMM ツールが 2025年10月から悪用されている。ScreenConnect は、遠隔接続と画面操作機能を提供する RMM/遠隔サポートソリューションであり、障害対応、維持管理などを実行することができる。ScreenConnect もまた、様々な攻撃者によって悪用されているが、例えばランサムウェアの攻撃者である ALPHV/BlackCat、Hive などがいる。

図7. マルウェアの署名に使用された証明書

このほかにも NinjaOne と SuperOps も存在する。NinjaOne は、企業の IT インフラを遠隔でモニタリングおよび管理するためのクラウドベース RMM ソリューションである。遠隔接続、パッチおよびソフトウェア配布、性能モニタリング、IT 資産管理などの機能に対応する。SuperOps も MSP(管理型サービス提供業者)を対象としたクラウドベース RMM/PSA 統合ソリューションであり、遠隔接続、資産・パッチ管理、モニタリングなどの機能に対応する。

AhnLab EDR は、これら　RMM　ツールの実行痕跡を脅威として検知し、管理者が異常を事前に認識できるようにした。

グラフィカルユーザーインターフェイス, アプリケーション AI 生成コンテンツは誤りを含む可能性があります。

図8. AhnLab EDR を活用した Syncro 実行振る舞い検知

グラフィカルユーザーインターフェイス, テキスト AI 生成コンテンツは誤りを含む可能性があります。

図9. AhnLab EDR を活用した ScreenConnect 実行振る舞い検知

グラフィカルユーザーインターフェイス AI 生成コンテンツは誤りを含む可能性があります。

図10. AhnLab EDR を活用した NinjaOne 実行振る舞い検知

グラフィカルユーザーインターフェイス, アプリケーション, メール AI 生成コンテンツは誤りを含む可能性があります。

図11. AhnLab EDR を活用した SuperOps 実行振る舞い検知

結論

このように正常 RMM ツールを悪用した攻撃手法は多様化しており、基本的なセキュリティ対策を継続的に点検する必要がある。以下の4点を実践することで被害可能性を大幅に低減できる。

1) ユーティリティのダウンロード前に公式経路を確認する

- ダウンロードは必ず公式サイトから行う。広告ページや検索上位リンクは偽装の可能性があるため注意する。

2) ダウンロードファイルのバージョン情報・証明書を確認する

- 入手したファイルが正規のものであるか、バージョン情報や証明書を確認する。

3) 出所不明のメールは閲覧前に確認する

- 発信者が信頼できるか確認し、疑わしいリンクや添付ファイルは開かない。

4) OS およびセキュリティ製品を最新状態に維持する

- 常に最新バージョンへ更新し、既知の脅威から保護する。

AhnLab EDR に関する詳細は、AhnLab 公式ウェブサイトで確認できる。