DigiCertコード署名証明書攻撃の背後にいるGoldenEyeDog脅威グループ

中国のサイバー犯罪グループGoldenEyeDogは、近年高度な脅威クラスターとして追跡対象になりつつありますが、このグループがDigiCertへの巧妙な侵入と関連付けられています。この侵入によって正規のコード署名証明書が窃取・悪用されました。

同グループは少なくとも2015年から活動しており、2024年以降は窃取または悪用したコード署名証明書を一貫して利用し、Windows SmartScreenの保護を回避して悪意あるバイナリに信頼性を持たせています。

2026年4月に発生したDigiCertのインシデントは、大きなエスカレーションとなりました。攻撃者は、サポートチケットのワークフローを通じて配信されたマルウェアを使い、DigiCertのサポート担当者のデバイスを侵害しました。

このアクセス権により、正規顧客向けに発行された証明書初期化コードの傍受が可能になりました。

ハードウェアベースの署名トークンを有効化するこれらのコードは、悪意あるペイロードの署名に使用され、事実上、正規のものであるかのような外観を与えました。

このキャンペーンの中心にあるのは、研究者たちが現在Golden Gh0st LoaderおよびGolden Gh0st RATと分類しているマルウェアスイートです。以前は、Any.Runの2025年の分析(https://any.run/cybersecurity-blog/zhong-stealer-malware-analysis/)などのレポートで「Zhong Stealer」と誤って特徴づけられていました。

より深い調査により、このペイロードは広く悪用されているGh0st RAT(https://attack.mitre.org/software/S0032/)から派生した、フル機能のリモートアクセス型トロイの木馬であることが判明しています。

このRATは、認証情報の収集、リモートシェル実行、SOCKSプロキシ、スクリーンショット取得、RDPバックドア展開のためのモジュール式プラグインに対応しています。

Expelのセキュリティ研究者らは、この活動をQi’anxinが以前から文書化していたクラスターであるGoldenEyeDog(別名APT-Q-27)に連なる、「CylindricalCanine」と名付けたサブグループに帰属させています。

セキュリティインシデント対応

感染の連鎖は、複数のキャンペーンを通じて一貫しています。初期アクセスは通常、スクリーンショットやサポートファイルを装ったフィッシングメールを通じて達成され、多くの場合、企業のチケットシステムを経由します。

被害者が悪意あるバイナリを実行すると、Alibaba OSSやGoogle Cloud Storageなどのクラウドインフラから第2段階のペイロードが取得されます。

GoldenEyeDog脅威グループ

このマルウェアはDLLサイドローディングを使用しており、Tencent署名済みバイナリを含む正規の実行ファイルを介して、.logファイルに保存された暗号化ペイロードを復号する悪意あるDLLをロードします。

この復号されたペイロードは、Golden Gh0st RATインプラントをメモリ上に展開します。注目すべき点として、この復号ルーチンは少なくとも2024年以降、サンプル間でほぼ変更されておらず、運用面での安定性を示しています。

研究者らは、GitHub(https://github.com/expel-io/expel-intel)およびVirusTotal上に復号ツールとペイロードサンプルを公開しており、さらなる分析を可能にしています。

GoldenEyeDogの運用インフラも成熟度を示しています。このRATは従来のTCPではなくWebSocket経由で通信を行い、ハードコードされた鍵を用いたカスタム暗号化フレームを使用します。

uu.goldeyeuu.ioやapi.keensie.comといったコマンド&コントロールサーバーは、5188番や5198番といった一般的でないポートで稼働しており、持続的なハートビート機構とセッションベースのコマンド実行を備えています。

侵害後の機能は多岐にわたります。このマルウェアは、プロセスの列挙、Chrome・Firefox・QQ Browserなど地域特有のアプリケーションからのブラウザ認証情報の窃取、スケジュールタスクやBATスクリプトを介した永続化の展開、Windowsイベントログを含むフォレンジック痕跡の消去が可能です。

注目すべきプラグインであるplugin32.dllは、隠し管理者アカウントを作成し、レジストリ変更によってRDPの自動ログインを有効化することで永続化を確立します。

このキャンペーンは、証明書悪用における広範なトレンドと一致しています。Cert Graveyard(https://certgraveyard.org/)のようなプラットフォームでは、Golden Gh0st Loaderに関連する75件を超える証明書が追跡されています。

同様の手口は、Black Basta、Rhysida、BaoLoaderが関与する作戦でも確認されており、コード署名の悪用が持続的かつ拡張性の高い回避手法であることを浮き彫りにしています。

GoldenEyeDogの進化は、サイバー犯罪における広範な変化を反映しています。すなわち、金銭目的のグループが、かつては国家主導の攻撃者に特有とされていた手法を次第に取り入れつつあるということです。

Sleuthcon 2024での議論を含め、研究者や業界専門家が指摘しているように、こうした収斂を認識できなければ、脅威を過小評価し、効果的な対応を遅らせるリスクがあります。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な形式に戻す際は、MISP、VirusTotal、SIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

𝗔𝗜 𝗦𝗢𝗖 𝘃𝘀 𝗠𝗗𝗥 𝘃𝘀 𝗠𝗦𝗦𝗣 2026年、どちらが最適か? コスト、自動化、対応力を比較: 無料ガイドをダウンロード