Golden ChickensまたはVenom Spiderとしても知られるTAG-195は、金銭目的で活動するMaaS開発者で、これまで複数の犯罪者向けに認証情報窃取ツールやリモートアクセスツールを提供してきたことで知られています。
Insikt Groupは最近、このエコシステムに属する4種類の新たなマルウェアファミリーを特定しました。そのうち2つにはTinyEggとChonkyChickenという名前が付けられており、これに加えてモジュール化されたChonkyChicken亜種、そしてChromeを狙う補助ツール「ChromEggscalator」も確認されています。
TinyEggは軽量な初期侵入用バックドアとして機能し、標的が侵害された後の後続活動の足がかりを築きます。
中核機能に重点を置いており、被害環境を把握するためのホストプロファイリング、手動での操作を可能にする対話型シェルアクセス、そして再起動後も生き残り攻撃者がいつでも利用できるようにする永続化機構の管理を備えています。
Insikt Groupは、TAG-195のMaaSサービスを利用する脅威グループであるTAG-127が、偽のセキュリティ検証ページを悪用した「ClickFix」型キャンペーンを通じてTinyEggを展開しているのを確認しています。
こうしたシナリオでは、被害者は正規のWindowsユーティリティを利用した悪意あるコマンドを手動で実行するよう仕向けられ、ユーザーが書き込み可能なディレクトリからTinyEggのペイロードがダウンロード・インストールされます。これにより、マルウェアは通常のシステム動作に紛れ込みやすくなります。
この配布手法はエクスプロイトチェーンへの依存を減らし、代わりにユーザーの信頼と環境寄生型（LOLBin）バイナリの悪用によって実行を成立させています。
ChonkyChickenは、はるかに高機能な第2段階のマルウェアであり、侵害後に攻撃者が実行できる操作をTinyEggに比べて大幅に拡張しています。
バックドアアクセスに加えて、ChonkyChickenはブラウザ認証情報の窃取、ブラウザセッションの自動操作、認証情報を利用したリモート実行、ネットワーク偵察、そして継続的な監視機能を統合しており、被害環境内での長期的かつ対話的な活動を支えます。
TinyEggとChonkyChickenはいずれも、場当たり的なデータ窃取に代わり、構造化された双方向のWebSocketタスキングフレームワークを採用しており、単発のデータ窃取ではなく、攻撃者主導による継続的なコマンド&コントロール(C2)を実現しています。
モジュール化されたChonkyChicken亜種はさらに一歩進んでおり、コントローラーとプラグインによるアーキテクチャを採用しています。軽量なベースインプラントが、攻撃者の管理下にあるインフラから個別の機能モジュールを動的に要求・読み込む仕組みです。
Insikt Groupによれば、この設計は少なくとも14種類のモジュールに対応しており、単一のバイナリに機能一式を詰め込んだ一枚岩的な構成を避けることで、ベースインプラントの静的検知の痕跡をほぼ確実に減らしているとのことです。
また、この仕組みにより攻撃者は侵入ごとに必要な機能だけを展開できるため、特定の顧客やキャンペーンが侵害された場合の露出を抑えられ、MaaSというビジネスモデルの商業的なインセンティブともうまく合致しているとRecorded Futureは述べています。
注: IPアドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/golden-chickens-unleashes-tinyegg/