C
月内に
ロシアの組織を標的とする攻撃グループ「Toy Ghouls」が、新しいカスタムバックドア（mqtt-bird-agentおよびmatrix-bird-agent…
📌 一言でいうと
ロシアの組織を標的とする攻撃グループ「Toy Ghouls」が、新しいカスタムバックドア（mqtt-bird-agentおよびmatrix-bird-agent）を使用していることが判明しました。攻撃者はWinRMを利用してバックドアを配信し、HiveMQ MQTTブローカーやElementメッセンジャーをC2サーバーとして利用します。以前は公開ツールや既存のランサムウェアビルダーを使用していましたが、現在は独自のツールへの移行が進んでいます。
🔍該当判定
- ロシア国内の組織または企業として事業を行っている
- Windows Remote Management (WinRM) を有効にして外部からアクセス可能にしている
- HiveMQ (MQTTブローカー) または Element (メッセンジャー) を業務で利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
WinRMの利用制限および監視の強化、不審なMQTT/Matrix通信の遮断、エンドポイントでの不審なプロセスの監視を推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Toy Ghouls による新カスタムバックドアの観測について
お疲れさまです。脅威アクター Toy Ghouls の活動に関する情報共有です。
■ 概要
ロシアの組織を標的とする Toy Ghouls が、独自のバックドア「mqtt-bird-agent」および「matrix-bird-agent」を運用していることが確認されました。WinRMを通じて配信され、C2通信にMQTT (HiveMQ) や Matrix (Element) プロトコルを悪用するのが特徴です。
■ 影響範囲
- WinRM (Windows Remote Management) が有効なWindowsシステム
- MQTT/Matrix通信を許可しているネットワーク環境
■ 対応手順
1. WinRMの利用状況を確認し、不要な場合は無効化またはアクセス制限を適用してください。
2. ネットワークログにおいて、HiveMQやElementメッセンジャーへの不審な通信がないか確認してください。
3. エンドポイントにおいて、不審なエージェントプロセスの動作を監視してください。
■ 参考情報
- Kaspersky Securelist: Angry Birds: Toy Ghouls’ new toys
対応優先度: 中
対応期限: 随時
お疲れさまです。脅威アクター Toy Ghouls の活動に関する情報共有です。
■ 概要
ロシアの組織を標的とする Toy Ghouls が、独自のバックドア「mqtt-bird-agent」および「matrix-bird-agent」を運用していることが確認されました。WinRMを通じて配信され、C2通信にMQTT (HiveMQ) や Matrix (Element) プロトコルを悪用するのが特徴です。
■ 影響範囲
- WinRM (Windows Remote Management) が有効なWindowsシステム
- MQTT/Matrix通信を許可しているネットワーク環境
■ 対応手順
1. WinRMの利用状況を確認し、不要な場合は無効化またはアクセス制限を適用してください。
2. ネットワークログにおいて、HiveMQやElementメッセンジャーへの不審な通信がないか確認してください。
3. エンドポイントにおいて、不審なエージェントプロセスの動作を監視してください。
■ 参考情報
- Kaspersky Securelist: Angry Birds: Toy Ghouls’ new toys
対応優先度: 中
対応期限: 随時
Subject: [Intel] New Custom Backdoors by Toy Ghouls
Dear Team,
We are sharing intelligence regarding the threat actor Toy Ghouls.
■ Overview
Toy Ghouls has been observed deploying custom backdoors named 'mqtt-bird-agent' and 'matrix-bird-agent'. These tools are delivered via WinRM and utilize HiveMQ MQTT brokers and the Element messenger for C2 communication to evade detection.
■ Scope
- Windows systems with WinRM enabled
- Environments allowing outbound MQTT/Matrix protocol traffic
■ Recommended Actions
1. Review WinRM configurations and restrict access or disable it where not required.
2. Monitor network traffic for anomalous connections to HiveMQ or Element messenger infrastructure.
3. Implement endpoint monitoring for unauthorized agent processes.
■ Reference
- Kaspersky Securelist: Angry Birds: Toy Ghouls’ new toys
Priority: Medium
Deadline: As soon as possible
Dear Team,
We are sharing intelligence regarding the threat actor Toy Ghouls.
■ Overview
Toy Ghouls has been observed deploying custom backdoors named 'mqtt-bird-agent' and 'matrix-bird-agent'. These tools are delivered via WinRM and utilize HiveMQ MQTT brokers and the Element messenger for C2 communication to evade detection.
■ Scope
- Windows systems with WinRM enabled
- Environments allowing outbound MQTT/Matrix protocol traffic
■ Recommended Actions
1. Review WinRM configurations and restrict access or disable it where not required.
2. Monitor network traffic for anomalous connections to HiveMQ or Element messenger infrastructure.
3. Implement endpoint monitoring for unauthorized agent processes.
■ Reference
- Kaspersky Securelist: Angry Birds: Toy Ghouls’ new toys
Priority: Medium
Deadline: As soon as possible