サイバー犯罪者たちが、Windowsがデジタル署名に寄せる信頼を悪用する手口を編み出しました。DigiCertの従業員が使用するワークステーションを侵害し、同社の顧客宛てに発行される証明書を横取りしたのです。この犯行の背後にいたのは、中国のサイバー犯罪集団でした。彼らはその後、盗み出した認証情報を使って自分たちのマルウェアに署名を施しました。
Expelの研究者たちは、この実行部隊をCylindricalCanineと命名し、社内ではExpel-TA-0002として追跡しています。同チームはこれを、より大きなGoldenEyeDogクラスターの一部として位置づけており、Qi’anxinはこれをAPT-Q-27として追跡しています。なお、証明書の異常な利用状況を最初に検知したのはExpel自身で、同社がDigiCertに警告を発したことで調査が始まり、DigiCertが詳細なインシデントレポートを公表するに至りました。
侵入はどのように進行したのか
攻撃者がシステムに侵入したのは2026年4月のことでした。彼らはスクリーンショットに偽装したファイルをDigiCertのサポート窓口に送りつけました。このチケットは社内の処理システムに取り込まれ、担当者が添付ファイルをダウンロードして実行してしまいました。マルウェアはただちにこのマシンの制御を奪いました。
そこから攻撃者は、顧客がコード署名証明書を更新する際に発行される初期化コードを収集しました。このコードには実質的な重みがあります。顧客が署名用の物理ハードウェアトークンを有効化する際に使用するものだからです。つまり、この窃取によって同グループは単なるデータではなく、正規の署名能力そのものを手に入れたことになります。
なぜ証明書が狙われるのか
こうした証明書は、Windowsがアプリケーションの出所を確認する仕組みを支えています。CylindricalCanineはこれを利用することで、悪意あるファイルがSmartScreenの警告に引っかかる頻度を下げていました。とはいえ、Microsoftはこの点への対策を強化しています。かつてExtended Validation証明書はSmartScreenの警告を完全に抑制していましたが、現在では証明書に自動的に与えられる信頼度は下がり、ファイルは時間をかけて評判を積み重ねる必要があります。
その規模は看過できないものです。2024年以降、Cert Graveyardプロジェクトは、Golden Gh0st Loaderの署名に使われた固有のコード署名証明書を75件記録しています。
Golden Gh0st RAT:蘇った古参のトロイの木馬
同グループが主に使用するツールがGolden Gh0st RATです。これは2008年にソースコードが公開されたGh0st RATの系譜を引くものです。アナリストはこれまで、この系統の一部をZhong Stealerとして分類してきました。しかしExpelの分析によれば、このマルウェアは単なる認証情報窃取ツールというより、リモートアクセス型トロイの木馬として主に機能しているとのことです。
現行版は感染したマシンを遠隔操作する機能を備えており、スクリーンショットの取得、キー入力の記録、コマンドの実行、ファイルのダウンロード、そして自らの痕跡の消去まで行います。
認証情報の窃取とフォレンジック対策
このトロイの木馬は、Chrome、Firefox、Skypeからもデータを略取します。TencentのQQブラウザや、360系の両ブラウザも標的の範囲に含まれます。まず対象のプロセスを終了させたうえで、プロファイルファイルをコピーします。
破壊的な機能はさらに多岐にわたります。マルウェアはApplication、Security、Systemの各イベントログを消去します。さらに、ディレクトリを再帰的に削除し、ホストを再起動させ、コマンド一つで自己消去することさえ可能です。
ローダーとサイドローディングの連鎖
Golden Gh0st Loaderはトロイの木馬の実行に先立って動作します。これは、正規の署名済みアプリケーション、悪意あるライブラリ、そして暗号化されたペイロードファイルという3つの構成要素を取得します。その後、無害な実行ファイルがDLLサイドローディングによって差し替えられたライブラリを読み込みます。このライブラリがメモリ上で直接トロイの木馬を復号します。この仕組みにより、悪意あるコードは防御側のツールの一部から見えなくなります。
GoldenEyeDogのインフラと手口は、驚くほど変化していません。攻撃者は今も画像を装ったファイルを配布し、メールをサポート窓口に送り込み、さらに感染の後段階をクラウドストレージに配置し続けています。アジア太平洋地域の金融機関は、依然として彼らのお気に入りの標的です。
コマンドチャネルの復号
Golden Gh0st RATは、TLSを使わない平文のWebSocket通信でサーバーとコマンドをやり取りします。観測された通信では、主にポート5188と5198という若い番号が好んで使われています。ペイロード自体は、トロイの木馬の複数バージョンにまたがって使い回されているハードコードされた鍵に依存しています。
この使い回しが攻撃者にとって命取りとなりました。Expelの専門家たちはこの鍵を抽出し、ネットワーク通信を復号したうえで、隔離された企業環境の中でマルウェアが動作する様子を観察したのです。
研究者たちが観察したこと
この観察の過程で、トロイの木馬はホストの指紋情報、ファイル一覧、スクリーンショットを攻撃者側に送信していました。数日後には、永続化のための追加モジュールを受け取りました。このプラグインは、ペイロードに組み込まれた認証情報を使って隠れた管理者アカウントを作成します。さらにWinlogonのレジストリキーを書き換えることで自動ログオンを許可し、認証情報の入力プロンプトを抑制したうえで、RDP経由のバックドアを開きます。
検知の手がかり
このカスタムプロトコルは、防御側にとって足がかりとなります。ExpelはProofpointと共同でSuricataルールを構築し、これらのシグネチャは現在ETProおよびETOpenのルールセットに収録されています。研究者たちはさらに、関連するファイル1,926件のリストを公開しました。ただし注意すべき点として、これら署名済みファイルはCylindricalCanineに限定して使われているわけではありません。
翻訳元: https://meterpreter.org/golden-gh0st-rat/
