Toy Ghoulsが自作バックドアで正規サービスをC2に悪用 — MQTTブローカーとElement経由で遠隔操作

Kasperskyの脅威調査チームGERTは2026年9月4日、金銭目的の攻撃グループToy Ghouls（別名Bearlyfy、Laboo.boo、Feral Wolf）が開発した2種類の自作バックドアを報告した。Toy Ghoulsは2025年からロシアの組織を狙っているグループで、当初はGitHubの公開ツールや流出したBabuk・LockBitのランサムウェアビルダーだけを使っていた。その後、自作ランサムウェアGenieLockerの開発へと攻撃手段を広げ、2026年7月上旬には今回の自作バックドアを初めて使い始めたことを同社が確認した。

2種類のバックドアと正規サービスを悪用した指令経路

2つのバックドアはどちらも名前に「bird」を含み、バージョン表記は0.1.0だ。

• mqtt-bird-agent：公開MQTTブローカーのHiveMQ（broker.hivemq.com）を指令（C2）サーバーに使う。MQTTはモノのインターネット（IoT）機器などで広く使われる軽量な通信規格で、HiveMQはその公開サービスだ。攻撃者は独自のクラスタを設け、端末の状態収集と指令送信に使った。
• matrix-bird-agent：攻撃者が用意したElementサーバー（Matrixという分散型メッセージ規格に基づくチャット基盤）を指令サーバーに使う。被害端末の情報受け取りと指令送信のための専用ルームを作っていた。

正規のサービスやありふれた通信に紛れ込ませることで、不審な通信として検出されにくくする狙いがあるとみられる。HiveMQ版は設定間隔でCPU負荷やメモリなどの端末情報を送り、指令取得と実行結果返送を定型の形式で行う。Element版は「config:set_interval」で始まるメッセージで送信間隔を変更し、「cmd:」で始まるメッセージを端末で実行する命令として扱う。攻撃者が指令を送るアカウント名は「panel-bot」だったことを、被害端末に残るElementのデータベースから同社が突き止めた。

侵入から常駐までの手口

搬入にはWinRM（Windows Remote Management：Windowsの遠隔管理機能）を使い、オープンソースのEvil-WinRMやWinRM-fsといった道具でバックドア本体と設定ファイルを送り込む。起動後は対話型セッションで動くほか、Windowsサービスとして常駐できる（HiveMQ版は「cplsupport」、Element版は「wtas」というサービス名で、正規機能を装う表示名を付けていた）。

設定ファイルの扱いも秘匿を意識している。HiveMQ版は初回起動時に設定の一部をChaCha20-Poly1305（高速な共通鍵暗号）で暗号化し、端末固有の値から作った鍵でしか復号できない形に変える。Element版は初回起動後に設定ファイルを削除し、代わりにレジストリに書き込む。起動時には公開IP確認サービスへ問い合わせて端末のIPと国を把握する動きも両版に共通する。指令の実行はHiveMQ版がPowerShellを隠しモードで、Element版がコマンドライン経由で行う。

公開ツール依存からの脱却が意味するもの

Kasperskyは今回の発見を、Toy Ghoulsが公開ツール依存から自作ツールへと転換し、攻撃の高度化と検出回避の長期化を図っている表れと位置付けている。自作ランサムウェアに続く自作バックドアの登場で、同グループは侵害端末を完全に掌握できる手段を手に入れたことになる。

同社は検出名（HEUR:Backdoor.Win64.Suptoml.genなど）やファイル名（cplsupport.exe、wtass.exe）、ハッシュ値、レジストリキー、サービス名、悪用ドメイン（meet.element[.]twなど）のIoC（侵害指標）を公開し、同社製品での検出に対応している。WinRMを外部に公開している組織や、不審なサービス登録の監視が手薄な環境では、今回の手口が通用する余地があると同社の報告は示している。

出典

• Angry Birds: Toy Ghouls’ new toys（Kaspersky Securelist、2026年9月4日）