DigiCertが2026年4月に発表したセキュリティインシデントは、CylindricalCanineとして追跡されているGoldenEyeDogのサブグループとの関連が指摘されています。同グループはマルウェアを使ってサポート担当従業員のデバイスを侵害し、コード署名証明書のアクティベーションデータを傍受したとされています。
攻撃者は窃取した証明書を使ってマルウェアに署名し、悪意あるファイルをより正規のもののように見せかけていました。
このキャンペーンは、DigiCertのサポートチケット業務を通じて送られたスクリーンショットや文書に偽装したフィッシングの誘い文句から始まったとされています。
サポート担当従業員が悪意あるファイルをダウンロードして開いたことで、Golden Gh0st Loaderと呼ばれるマルウェアがデバイスに感染しました。
この侵入により、脅威アクターはコード署名証明書を更新中の顧客の初期化コードにアクセスできるようになりました。これらのコードは、顧客が保有する物理署名トークンを有効化するために使われるものです。
このコードを傍受することで、攻撃者は本来正規の顧客向けに発行されるはずの証明書を入手し、自身のマルウェアにデジタル署名を施すことができました。
GoldenEyeDogは少なくとも2024年以降、コード署名証明書を悪用してSmartScreenの警告を回避し、悪意あるEXEファイルやMSIファイルの成功率を高めてきたとされています。
証明書のレピュテーション制御は、新たに署名されたファイルを依然として検知できる可能性があります。しかし、有効な署名が付いていることで、マルウェアがユーザーや一部のセキュリティツールにとってより信頼できるものに見えてしまうことがあります。
研究者らは、CylindricalCanineが、中国と関連付けられるより広範な活動クラスター「GoldenEyeDog」内の独立した作戦サブグループであるとみています。このクラスターはQi’anxinによって「APT-Q-27」としても追跡されています。
同グループはアジア太平洋地域の金融機関を標的としており、フィッシング、悪意あるサポート申請、認証情報の窃取、モジュール式マルウェアの配布といった手口を用いています。
このマルウェアの攻撃チェーンはDLLサイドローディングに依存しています。第1段階のローダーが、正規の実行ファイル、悪意あるDLL、そしてログファイルに偽装した暗号化ペイロードをダウンロードします。
正規プログラムが不正なDLLを読み込むと、そのDLLがメモリ上でペイロードを復号し、Golden Gh0st RATを起動します。Golden Gh0st RATは、旧来のGh0st RATファミリーをベースに改造されたリモートアクセス型トロイの木馬です。
expelによると、これにより攻撃者は侵害したシステムに対して、スクリーンショットの取得、キーロギング、プロセスの探索、コマンド実行、プロキシトンネリング、ブラウザの認証情報窃取、ファイル削除、イベントログの消去、永続化など、幅広い制御を行うことができるとされています。（expel）
このRATは、Chrome、Firefox、Skype、Tencent QQブラウザ、中国の360ブラウザからもデータを収集できます。
一部の確認済みサンプルでは、特権を持つバックドアアカウントを作成し、リモートアクセスをサポートするためにWindowsのログオン設定を変更する、追加の永続化プラグインを展開できることも判明しています。
コマンド&コントロール通信には、暗号化されていないWebSocket接続を使用し、独自の暗号化ペイロードを、多くの場合ポート5188および5198経由でやり取りします。
報告されているインフラには、uu.goldeyeuu.io:5188、wk.goldeyeuu.io:5188、api.keensie.com:5198が含まれます。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェング処理（例: [.]）を施しています。再度有効化する際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内のみで行ってください。
より強固なプロアクティブ防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCから得られるライブ脅威フィードを統合する
翻訳元: https://cyberpress.org/goldeneyedog-hijacks-digicert-certificates/