ハッカーがHiveMQとElement Messengerを悪用、Windows向けバックドアの制御チャンネルに転用

金銭目的の脅威アクター「Toy Ghouls」が、独自マルウェアの武器庫を拡充しました。HiveMQの公開MQTTインフラとMatrixベースのElementメッセージングエコシステムを悪用し、コマンド&コントロール通信に利用する2種類のWindows向けバックドアを新たに投入しています。

今回の動きは、同グループにとって注目すべき進化を示しています。これまで公開されているツールや流出したランサムウェアビルダーに依存していた同グループですが、独自のGenieLockerランサムウェアファミリーを投入して以降、独自開発路線へとシフトしています。

Bearlyfy、Laboo.boo、Feral Wolfとも呼ばれるToy Ghoulsは、2025年以降ロシアの組織を標的にしてきました。

研究者らがこれら新しい独自バックドアを最初に確認したのは2026年7月上旬で、mqtt-bird-agent 0.1.0およびmatrix-bird-agent 0.1.0という名称のビルドが特定されています。

前者はHiveMQ MQTTブローカー経由で通信を行い、後者は攻撃者が管理するElement/Matrixサーバーを利用します。

この手口から見て、攻撃者側は広範なフィッシングによる拡散に頼るのではなく、正規の管理者アクセス権を取得した後にペイロードを展開している可能性が高いと考えられます。

いずれの亜種も対話的に実行できるほか、Windowsサービスとして永続化する形でも登録可能です。cplsupport.exeとして確認されたHiveMQ版サンプルは、--install、--uninstall、--sealの各オプションに対応しています。

wtass.exeとして確認されたElement版には、install、uninstallのほか、インストール済みのWindowsサービスが使用する内部コマンドserviceが含まれています。

HiveMQ版インプラントは、まず実行ディレクトリ内のconfig.tomlを検索し、次に%PROGRAMDATA%\cplsupport\config.tomlを確認します。

Matrix版も同様に、%PROGRAMDATA%\SynapseAgent\config.tomlにフォールバックします。この仕組みにより、攻撃者はインプラントを一時的な場所にステージングした後、システム全体で永続化するパスへ移動させるといった柔軟な運用が可能になります。

重要な技術的特徴の一つが、マシン固有の設定暗号化を採用している点です。

Securelistの研究者によれば、Toy GhoulsはWindows Remote Management(WinRM)を通じてバックドアと付随するconfig.tomlファイルを展開しており、その際にEvil-WinRMやWinRM-fsといったオープンソースの侵入後活動用ツールを使用しています。

HiveMQ版バックドアは、機密性の高い設定値をChaCha20-Poly1305で暗号化できます。この暗号鍵は、WindowsレジストリのHKLM\Software\Microsoft\Cryptography\MachineGuid値から導出されます。

HiveMQを動力源とするバックドア

この仕組みにより、暗号化された設定は侵害されたホストに紐付けられます。ファイルを別のシステムにコピーしても、正常に復号することはできません。マルウェアが設定の復元に失敗した場合は、そのまま終了します。

保護対象となる値には、エージェントの秘密鍵、ブローカーのチャンネル識別子、サーバーの公開鍵が含まれます。

Element版はさらに一歩進んだ永続化手法を採用しています。初回実行後、設定ファイルを削除し、関連する暗号化データをHKLM\Software\synapse\Config\SealedConfigに保存します。

その設定には、攻撃者のElementサーバー、MatrixルームID、そのルームへの認証に使用されるアクセストークンが含まれます。

両方のバージョンとも、起動時にip-api.com/jsonにアクセスし、被害ホストの公開IPアドレスと地理情報を収集します。

MQTT版はその後、ポート8883経由でbroker.hivemq.comに接続します。これは攻撃者が管理するクラスターで、ステータス報告、システムテレメトリ、コマンド、コマンド実行結果のやり取りに使用されます。

インプラントは、ホスト名、オンライン状態、タイムスタンプ、公開IPの位置情報、CPU使用率、メモリ使用量、ディスク使用量、システム負荷、稼働時間を報告します。

コマンドエンドポイントをポーリングし、受け取った命令を隠しPowerShellで実行します。その際には-NonInteractive -NoProfile -Commandを使用し、標準出力、エラー出力、実行時間、終了コードを返します。

Elementベースのバージョンは、Matrixサーバーmeet.element[.]twと専用ルームを制御チャンネルとして使用します。m.bird.status、m.bird.metrics、m.bird.cmd_responseといったカスタムイベントを送信します。

攻撃者はconfig:set_intervalメッセージを通じて、テレメトリの送信間隔を5秒から3,600秒の間で変更できます。この設定値はHKLM\Software\SynapseAgent\metrics_interval配下に保存されます。

cmd:の接頭辞が付いたコマンドはWindowsコマンドシェル経由で実行されます。研究者らは、コマンドの発行に使用されているアカウントとしてpanel-botを特定しました。

これらのバックドアは、攻撃者に持続的なリモートアクセス、ホスト監視、任意のコマンド実行能力を提供します。これにより、偵察活動、横展開、ペイロードのステージング、ランサムウェア展開などが可能になります。

今回の発見は、Toy GhoulsがWindows、Linux、VMware ESXi環境を標的とする自社製ランサムウェア「GenieLocker」へと軸足を移したことを受けたものです。

防御側にとっては、不審なWinRMの活動、新規作成されたサービス、SynapseAgentおよびcplsupportのProgramDataディレクトリに関わる読み書き、特定されたレジストリパスへのアクセス、想定外のMQTTまたはMatrixトラフィックが、直ちに調査すべき対象となります。

広く使われているクラウドやメッセージング基盤を利用することで、C2通信を正規の通信活動に紛れ込ませることが可能になります。このため、ドメインのみに基づくブロックよりも、振る舞いに基づく検知の重要性が高まっています。

侵害指標(IOC)

注: IPアドレスやドメインは、誤ってアクセスされたりハイパーリンク化されたりすることを防ぐため、意図的に無害化表記(defang、例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ 7段階のメトリクスゲート方式によるAI SOC導入フェーズを学ぶ – 無料のAI SOC導入プレイブック2026をダウンロード。