Golden Chickens、Chrome認証情報を窃取しブラウザセッションを乗っ取る4種のモジュール型マルウェアファミリーを投入

TAG-195として追跡され、Venom Spiderとしても知られるGolden Chickensは、認証情報窃取、ブラウザセッションの乗っ取り、侵入後の柔軟性を強化するために設計された4種の新しいモジュール型マルウェアファミリーを投入しました。

新たに確認されたTinyEgg、ChonkyChicken、ChonkyChickenのモジュール化バリアント、そしてChromEggscalatorは、同グループのマルウェア・アズ・ア・サービス(MaaS)エコシステムにおける明確なアーキテクチャの進化を示しており、拡張性が高くオペレーター主導型のツール群へと軸足を移していることをうかがわせます。

Insikt Groupは、Golden Chickensのツールを実際のキャンペーンで積極的に展開している脅威アクターTAG-127との重複も確認しています。

最近の活動でTAG-127は、ClickFix型のソーシャルエンジニアリングを利用しました。これは、偽のCAPTCHAや確認ページを通じて被害者に悪意あるコマンドを実行させるよう仕向ける手口です。

これらのコマンドはregsvr32.exeなどの正規Windowsユーティリティを使ってペイロードをダウンロード・実行するため、従来のファイルベースの検知策を事実上回避してしまいます。

新たに発見されたTinyEggマルウェアは、軽量な初期アクセス用バックドアとして動作します。OCXコンポーネントとして配布され、Windowsのレジストリ起動キーを通じて永続化し、構造化されたJSONベースのプロトコルを用いてWebSocket経由でコマンド&コントロール(C2)基盤と通信します。

TinyEggはホストのプロファイリング、権限の列挙、対話型シェルアクセスを可能にし、第2段階のペイロード配信に向けた足場となるインプラントとして機能します。

その機能が限定的であること自体、侵入初期段階での検知を最小限に抑えるための意図的な設計選択を反映しています。

ChonkyChickenは運用能力を大幅に拡張しており、侵入後(ポストエクスプロイテーション)における主要なインプラントに位置づけられます。

これにはブラウザ認証情報の窃取、Chrome DevTools Protocol(CDP)経由のセッション乗っ取り、認証情報を利用したラテラルムーブメント、包括的なネットワーク偵察機能が統合されています。

特筆すべきは、攻撃者が稼働中のブラウザセッションを制御できるようになる点です。これにより、パスワードがリセットされた後でさえ、認証済み環境にリアルタイムで介入できてしまいます。これはインシデント対応戦略においてますます見過ごされがちな抜け穴となっています。

この世代のマルウェアにおける重要な強化点は、オープンソースツールChromElevatorの改変版であるChromEggscalatorの統合です。

このコンポーネントは、以前TerraStealerV2などの初期のツールでGolden Chickensの認証情報窃取能力を制限していた保護機構、ChromeのApp-Bound Encryption(ABE)を回避します。

ChromEggscalatorは段階的なワークフローで展開され、認証情報とセッションデータを構造化された出力に抽出し、ChonkyChickenを通じて外部へ持ち出します。

ComputerScience

OCXベースのヘルパーとして再設計され、より広範な実行フレームワークと連携している点は、開発が組織的に進められていることを裏付けています。

Insikt Groupによれば、TAG-195は以前から金銭目的のサイバー犯罪活動と関連付けられており、FIN6、Evilnum、Cobalt Groupといったグループとの関連も過去に指摘されています。

モジュール化されたChonkyChickenのバリアントは、最も大きなアーキテクチャ上の転換をもたらしています。すべての機能を組み込む代わりに、コントローラーとプラグインからなるモデルを採用し、基本となるインプラントが攻撃者が管理するインフラから動的にモジュールを要求する仕組みになっています。

4種のモジュール型マルウェアファミリー

これまでに少なくとも14種類のモジュールが確認されており、プロセス管理、ネットワークスキャン、認証情報関連の操作、監視、ブラウザデータ抽出などをカバーしています。

このモジュール性により静的検知の痕跡が減り、オペレーターは侵入ごとに機能を調整できるようになるため、MaaSの商用化モデルが一段と強化されます。

このインプラントは正規のWindowsコンポーネントのファイル名を装い、DllInstallエクスポートを通じて実行されます。

4種のファミリーすべてにおいて、Insikt Groupはファイル名に基づく実行ゲーティング、文字列難読化、レジストリ起動キーを通じた永続化、正規Windowsバイナリを介した実行など、一貫したアーキテクチャ上の特徴を確認しました。

これらの共通する特徴は、統一された開発フレームワークの存在を裏付けるものであり、ファミリー横断的な検知戦略の構築を後押しします。

このマルウェアはまた、RFC 6455に準拠したWebSocketベースのC2通信を採用しており、プロトコル自体が持つマスキング機構を利用してシグネチャベースの検査を回避します。

これに多層的な難読化が組み合わさることで、ネットワークレベルでの検知が一段と難しくなり、振る舞い分析の重要性が改めて浮き彫りになっています。

インフラの分析からは、キャンペーンの活動がxtrafftrck.netといったドメインや、IPアドレス70.34.205.43でホストされているステージングサーバーと関連付けられており、ペイロード配信とC2運用の両方を支えていることが分かっています。

集中管理されたインフラとモジュール型のペイロード配信を組み合わせている点は、TAG-195エコシステムにおける運用の成熟度と連携の高さを浮き彫りにしています。

TAG-195のようなモジュール型MaaSエコシステムの台頭は、現代の企業環境においてステルス性、拡張性、持続的アクセスを狙って設計された、カスタマイズ可能で痕跡の少ないマルウェアフレームワークへの広範な潮流を裏付けています。

今回の進化は、強固なC2機能やChromeのABE回避能力を欠いていたTerraLoggerやTerraStealerV2など、Golden Chickensの過去のマルウェアを直接的な土台としています。

暗号化回避機構を統合したモジュール型・プラグインベースのインプラントへの移行は、段階的な改善というより意図的な再設計と言えます。

防御側は、ClickFix型の実行チェーン、OCXペイロードを読み込むシステムユーティリティの不審な使用、リモートデバッグを有効にした異常なブラウザ起動、そして異常な外向きWebSocket通信の検知を優先すべきです。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無害化表記(例: [.])にしています。MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ再変換してください。

2026年にAI SOCが備えるべき機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード