Golden Chickens、Chromeの認証情報窃取とセッションハイジャック機能を追加

Golden Chickens、新たなモジュール型マルウェアでChromeの認証情報窃取機能を強化

サイバー犯罪グループ「Golden Chickens（TAG-195）」が、Chromeの認証情報窃取やブラウザセッションのハイジャックを目的とした新たなモジュール型マルウェア群を展開していることが確認された。「TinyEgg」「ChonkyChicken」「ChonkyChicken」のモジュール化された亜種、および「ChromEggscalator」で構成されるこのマルウェア群は、攻撃の柔軟性を高めるとともに、拡張性の高いモジュール型攻撃基盤への移行を示している。

Insikt Groupによると、TAG-127として追跡される別の脅威アクターもGolden Chickensのツールを積極的に利用している。攻撃では、「ClickFix」と呼ばれるソーシャルエンジニアリング手法を用いて被害者にマルウェアを実行させるほか、Windows標準ユーティリティの「regsvr32.exe」を悪用してペイロードを配布・実行し、ファイルベースの検知を回避する手口が確認されている。

TinyEggは軽量な初期アクセスツールとして機能し、Windowsの実行キーを利用して永続化を行った後、WebSocket経由でC2（コマンド・アンド・コントロール）サーバーと通信する。ホスト情報の収集や権限の列挙機能を備えたステージングツールとして設計されており、ChonkyChickenはブラウザの認証情報窃取やセッションハイジャック機能を提供し、攻撃者によるリアルタイムでの認証環境の掌握を可能にする。

ChromEggscalatorは、ChromeのApp-Bound Encryption（ABE）を回避して認証情報の窃取を支援する機能を備える。OCXベースへ再設計されたこのツールは、プロセス管理やネットワークスキャン、監視機能などをChonkyChickenと連携して提供する。今回確認されたモジュール型マルウェア群は、TAG-195が金銭目的のサイバー犯罪活動を継続的に高度化していることを示しており、中央集権型インフラとモジュール型ペイロード配信を組み合わせた攻撃手法への警戒が求められる。