攻撃者の MDM に端末を登録させる手口：RMM を消しても MDM が再導入する
業務依頼を装うメールから、偽 DocuSign インストーラーや偽 Teams 予定ページ経由で、攻撃者が管理する Hexnode / Rippling のテナントに端末を登録させ、MDM から ScreenConnect を SYSTEM 権限で入れる。MDM が残っている限り、ScreenConnect を消しても数時間後に戻ってくる。
手口（Huntress）
- Hexnode 例：提案依頼メール →
eD0cuSign_Installer.msiを実行 → Hexnode の MDM エージェント導入 → 攻撃者の中継サーバーへ接続する ScreenConnect。MSP が削除した数時間後に再導入。 - Rippling 例：税務問い合わせへの返信を装うメール → Teams 予定表風ページ → クリック約 1 分後に攻撃者テナントへの登録と整合するレジストリキー → Rippling エージェントが SYSTEM で導入 → 約 35 分後に MDM 経由で ScreenConnect 実行。
- 製品の脆弱性ではなく、正規機能の悪用。
対策
- MDM 登録をセキュリティ上重要な操作として監視する。 自社が使っていない MDM ベンダーのエージェント、見慣れないテナントへの登録をアラートにする。
- なりすましメール → 新しい MDM 登録 → RMM ツール導入 → 見慣れない中継サーバーへの通信、を一連で相関させる検知を作る。
- 社内で使う RMM・MDM を許可リスト化し、それ以外の導入をアプリ制御で止める。
- 侵害時は RMM だけでなく MDM から外す。 端末隔離、無許可 MDM テナントからの登録解除、攻撃者が作ったアカウントの無効化、セッション・トークンの失効、認証情報のリセット。改ざんなしと確認できなければ再イメージ化する。
- IoC（ScreenConnect の中継）:
relay.bobdthjau[.]com:8041、relay.pronconetydesire[.]online:8041。誘導ドメイン:webdocusign.viewportal[.]es、kiratham[.]comのサブドメイン。