フィッシング攻撃を通じて拡散されている RMM ツール (ScreenConnect、FleetDeck、Datto、SimpleHelp、JumpCloud、N-able)

AhnLab SEcurity intelligence Center (ASEC) は、2026年1月に、動画ファイルやフィッシングメールの添付ファイルを通じて RMM (Remote Monitoring and Management) ツールを拡散する攻撃事例を取り上げた [1] [2]。これらの攻撃事例では、Syncro、ConnectWise ScreenConnect、NinjaOne、SuperOps などのツールが悪用されていた。

RMM (Remote Monitoring and Management) ツールは、バックドアや RAT のようなマルウェアではないものの、インストールされたシステムを遠隔操作できるツールであり、組織内で正当な目的に使用されることもあるため、さまざまな攻撃者によって悪用されている。これは、セキュリティ製品による検知を回避することを意図したものである。ファイアウォールやアンチウイルスなどのセキュリティ製品では、一般的なマルウェアとは異なり、こうしたツールを単純に検知して遮断することには限界があるためである。

このような RMM ツールを拡散する攻撃は現在も続いており、最近では FleetDeck、Datto、SimpleHelp、JumpCloud、N-able などのツールが悪用されている。本ブログでは、最近確認された RMM ツールの拡散事例を紹介する。

1. ScreenConnect

ConnectWise ScreenConnect は、過去の事例でも取り上げたが、現在も最も多く拡散されている種類の1つである。今回取り上げるフィッシングメールの添付ファイルを悪用した攻撃だけでなく、APT 攻撃やランサムウェア攻撃でも ScreenConnect が使用されてきた。2026年下半期には、LNK、BAT、VBS など、さまざまな形式で ScreenConnect が拡散されており、ファイル名から判断すると、主にフィッシングメールの添付ファイルとして使用されていたと推測される。

[図1] ScreenConnect の拡散に使用された LNK 形式のマルウェアが表示するおとり文書ファイル

• dropbox.sharedfilePDF.lnk
• ZoomSetup-V.7.3.bat
• Wire Receipt Form_pdf.vbs

ScreenConnect は、リモートアクセスや画面制御機能を提供するほか、RMM/リモートサポートや IT 資産管理などの機能を備えている。ScreenConnect の C2 リレーサーバーとポート番号に関する情報は、以下のように実行引数から確認できる。

[図2] ScreenConnect のインストール時のプロセスツリー

2. FleetDeck

最近では、FleetDeck を拡散する事例も確認されている。FleetDeck は過去に DragonForce ランサムウェアを拡散する攻撃者グループ Scattered Spider によって使用されたこともある [3]。確認された FleetDeck の拡散事例では PDF 文書ファイルが悪用されていた。攻撃者は、文書などの添付ファイルを確認するためにユーザーがリンクをクリックするよう誘導し、クリックすると FleetDeck の実行ファイルがダウンロードされる仕組みを利用していた。

[図3] FleetDeck を拡散する PDF 文書ファイル

ダウンロードされるのは FleetDeck のインストーラーである。FleetDeck の特徴として、ファイルの末尾に配布 ID の情報が残されている点が挙げられる。インストール時にはこの ID が「-deploymentID」 引数として渡され、配布した攻撃者が制御権を奪取できるようになっている。

[図4] FleetDeck のインストーラーに含まれる配布 ID

> “C:\Program Files (x86)\FleetDeck Agent\fleetdeck_agent_svc.exe” -deploymentID c99d93d7-68f9-4baa-bc21-2aa2097de3be -askForName=0

3. Datto

Datto RMM も、MSP や IT 管理者がリモートシステムにエージェントをインストールしてエンドポイントの監視、リモート制御、パッチ管理、スクリプト実行などを行うためのクラウドベースの RMM ソリューションである。FleetDeck と同様に PDF 文書ファイルを通じて拡散されていた。文書には、閲覧するために Adobe Acrobat Pro をアップデートするよう促す画像が表示される。しかし、実際にリンクからダウンロードされる 「AdrAcroPro11.2_3D_client.exe」 は Datto RMM である。

[図5] Datto RMM を拡散する PDF 文書ファイル

Datto では、インストーラー内部の 「CagService.exe.config」 に設定情報が保存されている。Channel Insider の記事によると、同ファイル内の 「AccountUid」 の設定情報が Datto の親会社である Kaseya に報告されたという。このことから、「AccountUid」 の値は攻撃者を識別するための固有 ID であると推測される [4]。

[図6] 攻撃に悪用された Datto RMM の設定情報

4. SimpleHelp

SimpleHelp は、リモートサポートおよびシステム管理向けのソリューションであり、リモート制御、監視、スクリプト実行などの機能を提供する。こうした機能を悪用し、攻撃者が感染システムを遠隔操作する手段として SimpleHelp を使用する事例も継続的に確認されている。Play ランサムウェアに関連する攻撃者による事例 [5] のほか、Medusa [6] や ALPHV (BlackCat) ランサムウェア [7] による攻撃でも SimpleHelp が使用されたことがある。

[図7] SimpleHelp を拡散する HTML 形式のフィッシングスクリプト

SimpleHelp は、ファイル内部に設定情報を含んでおり、C&C サーバーのアドレスは 「sg_servers」 という項目に16進数 (Hex) 形式で格納されている [8]。

[図8] 16進数データとして格納された SimpleHelp の設定情報

5. JumpCloud

JumpCloud は、ユーザーアカウントとエンドポイントを一元管理し、リモートでコマンドを実行できるクラウドベースのデバイス管理ソリューションである。
既知の悪用事例は多くないものの [9]、最近 Adobeのセキュリティ文書を装ったフィッシングページを通じて拡散される事例が確認された。以下のようなフィッシングページで 「Download Document」 ボタンをクリックすると、JumpCloud をインストールする BAT 形式のマルウェアがダウンロードされる。なお、同じサイトには JumpCloud だけでなく FleetDeck を拡散するフィッシングページも存在する。

[図9] JumpCloud を拡散する HTML 形式のフィッシングページ

この BAT 形式のマルウェアは、JumpCloud をダウンロードして実行する際、攻撃者のキー値を 「CONNECT_KEY」 引数として指定することでインストールする。

[図10] JumpCloud のインストールスクリプト

6. N-able

N-able は、エンドポイントの監視、パッチ管理、リモートアクセス、スクリプト実行などの機能を提供する RMM ソリューションである。最近では、N-able を悪用した事例も確認されている。
以下の事例では、BAT 形式のマルウェアが DocuSign Viewer を装っている。ユーザーをだますため、実行時には N-able をインストールするだけでなく、Web ブラウザーでサポートページも同時に表示する仕組みになっている。

[図11] N-able をインストールするマルウェアとリダイレクト先のページ

N-able のインストーラー内部にある 「settings.ini」 ファイルには、以下のように攻撃者のメールアドレス 「mark@hessattorneys.co[.]za」 が含まれている。
なお、メールアドレスのドメイン 「hessattorneys.co[.]za」 に Web ブラウザーでアクセスすると、DocuSign を装ったページが表示される。文書を閲覧するためにクリックすると、ビューアーが必要である旨がユーザーに表示される。
つまり、攻撃者はこのようなフィッシングページを利用し、ビューアーを装った N-able をインストールさせようとしていたと推測される。

[図12] N-able の設定ファイル

[図13] DocuSign を装ったページ

7. まとめ

出所が不明なメールを閲覧する際は、十分な注意が必要である。メールの送信者が信頼できる相手かどうかを確認し、添付ファイル内のリンクをクリックするよう促された場合は、クリックする前にリンク先の URL を確認する。
不審な URL は、公式ページではない別の経路を経由し、最終的に正規のページへリダイレクトされることもあるため、注意深く確認する必要がある。
また、添付ファイルがある場合は、拡張子が 「.exe」 や 「.com」 などの不審なファイルでないか確認することも重要である。さらに、OS やセキュリティ製品を常に最新バージョンに更新し、既知の脅威からシステムを保護する必要がある。