サイバー犯罪組織「Golden Chickens」が活動再開、検知をすり抜ける4つの新型マルウェアを投入

要点

• マルウェア提供組織「Golden Chickens」が、4つの新型マルウェアファミリーを開発して活動を再開した。

• 新たに確認されたツールには、初期アクセス用の「TinyEgg」や、遠隔制御・監視を行う「ChonkyChicken」などが含まれる。

• 攻撃者は、機能を分割してC2サーバーから動的に読み込むモジュール型設計を採用し、セキュリティ検知を回避する仕組みを強化している。

• 調査を行ったRecorded Future社によれば、開発グループ「TAG-195」は過去に内部構造が暴露されたものの、活発な開発姿勢を崩していない。

• セキュリティ企業のRecorded Future社は、サイバー犯罪グループ「Golden Chickens」が運営するマルウェア提供サービス（MaaS）エコシステムにおいて、新たに4つのマルウェアファミリーが投入されたことを明らかにした。同社の脅威インテリジェンス部門である「Insikt Group」による調査結果を、海外テックメディアのThe Hacker Newsなどが報じている。過去にその内部構造が詳細に暴露されたにもかかわらず、開発組織は活動を停止する兆候を見せておらず、検知回避を狙った構造の刷新を進めている実態が浮き彫りになった。

攻撃グループの背景と感染経路

「TAG-195」という識別名で追跡されているこの開発グループは、金銭的な利益を目的としてマルウェア提供サービス（MaaS：攻撃ツールを有料で他の犯罪者に貸し出すビジネスモデル）を運営している。このグループが開発したツール群は、これまで「TAG-127」などの他の攻撃組織によって実際の攻撃に悪用されてきた。

TAG-127は、配信方法として「ClickFix」や「VenomLNK」（Windowsのショートカットファイルを悪用した攻撃手法）を使用している。今回の調査では、ClickFixと呼ばれるソーシャルエンジニアリング（人の心理的な隙を突く詐欺的手口）の手法を用いて、新型マルウェアの一つである「TinyEgg」を配信するキャンペーンが観測された。この手法では、ユーザーを騙して不正なコマンドを手動で実行させることで感染を広げる。

新たに確認された4つの不正プログラム

Recorded Future社が特定した4つの新型マルウェアファミリーは以下の通りである。

1. TinyEgg：初期侵入用の軽量なバックドア（外部からシステムに侵入するための不正な経路）である。感染したシステムの情報を収集する「ホストプロファイリング」や、対話的にコマンドを実行できる「インタラクティブシェル」アクセス、侵入状態を維持する持続性管理機能を備えている。セキュリティ担当者による自動分析環境（サンドボックス）を検知すると、自身の活動を強制終了して解析を逃れる設計となっている。C2サーバー（マルウェアに指示を出す司令塔となるサーバー）とは、リアルタイム双方向通信を行う「WebSockets」を用いて通信する。

2. ChonkyChicken：TinyEggによる初期侵入と情報収集が完了した後に投入される、より多機能なインプラント（標的システムに常駐する不正プログラム）である。ブラウザの認証情報（IDやパスワード）の窃取に加え、Chrome DevTools Protocol（ブラウザを制御するための通信規約）を悪用して、起動中のブラウザセッションをリアルタイムで遠隔操作する機能を持つ。さらに、ネットワーク内の偵察や長期的な監視活動、盗み出した認証情報を利用した別端末でのリモート実行なども行う。

3. ChonkyChickenのモジュール版：ChonkyChickenにコントローラーとプラグインの構造を取り入れた派生版である。すべての機能を最初からプログラム内に組み込むのではなく、必要に応じてC2サーバーから個別の機能モジュールを動的にダウンロードして実行する。これにより、プログラムのサイズを抑え、セキュリティソフトによる検出を回避する。このモジュールは現在14種類が確認されており、プロセス管理、画面キャプチャ、ファイル操作、ドメイン偵察、キーロガー（キーボード入力の記録）、音声録音、さらに詳細が不明な「wtrack」と呼ばれるモジュールなどが含まれる。

4. ChromEggscalator：Webブラウザ内の認証情報を盗み出すためのツールであり、従来のマルウェア「TerraStealerV2」の後継にあたる。一般に公開されているChromeの暗号化回避ツールである「ChromElevator」を改造したものであるとされる。

防衛回避を狙うアーキテクチャの進化

今回明らかになった新型ツール群は、いずれも共通のコマンド＆コントロール（C2）通信メカニズム、永続化（システムへの常駐）のアプローチ、難読化（プログラムコードの解析を困難にする処理）、および同一の配信モデルを共有している。

Recorded Future社は、これら4つのファミリーの登場について「TAG-195のMaaSエコシステムにおける設計上の移行と進化を示している」と分析している。特に、機能を必要に応じて読み込むモジュール型のアーキテクチャへのシフトは、セキュリティ対策ソフトによる静的解析をすり抜けるための意図的な設計変更であると考えられる。

犯罪コミュニティにおける広範な利用

「More_eggs」と呼ばれるマルウェアファミリーに関連する同組織のツール群は、「Cobalt Group」「Evilnum」「FIN6」といった金銭目的の著名なサイバー犯罪グループにも広く貸し出され、攻撃に利用されてきた。

開発元のTAG-195（別名「Venom Spider」とも呼ばれる）の正体や組織の内部構造については、これまでセキュリティ業界によって詳細な情報公開が行われてきた。しかし、同組織はこうした暴露による打撃を受けることなく、モジュール型の回避機能を備えた新型ツールを開発し、活発な開発姿勢を維持している。