Os atores de ameaça por trás do ecossistema de malware como serviço (MaaS, na sigla em inglês) Golden Chickens ressurgiram com quatro novas famílias de malware, indicando que os operadores não dão sinais de parar apesar das amplas divulgações públicas sobre seu funcionamento interno.
As famílias de malware em questão são: TinyEgg, ChonkyChicken, uma variante modularizada de ChonkyChicken e um utilitário modificado de roubo de credenciais de navegadores web, batizado de ChromEggscalator. O Insikt Group da Recorded Future acompanha o grupo sob o codinome TAG-195.
O TAG-195 é um desenvolvedor de malware como serviço (MaaS) motivado financeiramente, cujas ferramentas já foram associadas anteriormente ao TAG-127 como operador e cliente. A empresa de inteligência de ameaças afirmou que também observou o TAG-127 implantando o TinyEgg por meio de campanhas de engenharia social no estilo ClickFix que enganam usuários desavisados, fazendo-os executar manualmente comandos maliciosos.
"As quatro novas famílias indicam uma transição arquitetônica e evolução no ecossistema MaaS do TAG-195", afirmou a Recorded Future. "Todas as quatro famílias compartilham um conjunto comum de características arquitetônicas: mecanismos consistentes de comando e controle, uma abordagem compartilhada de persistência, ofuscação de strings e execução por meio do mesmo modelo de entrega."
Uma breve descrição de cada uma das ferramentas é a seguinte:
- TinyEgg, um backdoor leve de acesso inicial que oferece perfilagem do hospedeiro, acesso a shell interativo e gerenciamento de persistência;
- ChonkyChicken, um implante completo que expande o TinyEgg com roubo de credenciais de navegadores, controle de sessões ativas do navegador usando o Protocolo Chrome DevTools (CDP, na sigla em inglês), execução remota apoiada por credenciais, reconhecimento de rede e vigilância contínua;
- Uma versão modularizada do ChonkyChicken, que introduz uma arquitetura de controlador e plugins, permitindo que o controlador solicite e carregue 14 módulos de capacidade distintos sob demanda, em vez de incorporar toda a funcionalidade no implante;
- ChromEggscalator, sucessor do TerraStealerV2 e versão modificada de uma ferramenta de contorno de criptografia do Chrome disponível publicamente, chamada ChromElevator.
A mudança é um sinal de que o Golden Chickens, também chamado de Venom Spider, está refinando ativamente seu arsenal por meio de desenvolvimento contínuo, enquanto migra deliberadamente para ferramentas modulares e orientadas a operadores com o objetivo de evadir defesas.
Associado a uma família de malware chamada More_eggs, as ferramentas do ator de ameaça foram utilizadas por outros grupos cibercriminosos, como Cobalt Group (também conhecido como Cobalt Gang), Evilnum e FIN6. Outro ator de ameaça associado ao MaaS do Golden Chickens é o TAG-127, que usa ClickFix ou VenomLNK como métodos de entrega.
Cadeias de ataque foram descobertas explorando iscas do ClickFix para executar payloads OCX baixados de uma infraestrutura de staging controlada pelos atacantes, resultando na instalação do TinyEgg. A funcionalidade do malware é limitada ao acesso inicial e a funções de perfilagem, com toda a capacidade de pós-exploração transferida para o ChonkyChicken. O TinyEgg também foi projetado para encerrar a execução caso ambientes de sandbox e de análise automatizada sejam detectados.
O malware estabelece conexões com um servidor de comando e controle (C2) usando WebSockets para viabilizar um shell de comando interativo, executar entradas fornecidas pelo operador para os comandos da sessão de shell ativa, enviar a saída de volta ao controlador e preparar payloads OCX.
A versão modular do ChonkyChicken, por outro lado, suporta 14 componentes diferentes que são buscados na infraestrutura de C2 conforme necessário, permitindo que os operadores entreguem seletivamente certas funcionalidades em tempo real, algo que arquiteturas monolíticas de malware não suportam facilmente sem um mecanismo de atualização. Os 14 módulos habilitam as seguintes funções:
- Gerenciamento de processos;
- Captura de tela e enumeração de monitores;
- Manipulação de arquivos;
- Execução de comandos;
- Reconhecimento de rede;
- Reconhecimento baseado em domínio;
- Captura de área de transferência;
- Captura de teclas (keylogging);
- Captura de áudio;
- Verificação de tempo ocioso;
- Requisições HTTP/S via hospedeiro;
- Roubo de credenciais de navegador via ChromEggscalator;
- Gerenciamento de persistência.
A versão modular também suporta um módulo chamado "wtrack", cuja finalidade permanece desconhecida. Isso sugere a adição de uma capacidade ativa em desenvolvimento.
"A transição do TAG-195 para uma arquitetura modular quase certamente reduz a exposição de detecção estática do implante base e provavelmente também reflete incentivos comerciais inerentes ao modelo MaaS, incluindo a capacidade de provisionar capacidades seletivamente para os operadores, limitar a exposição caso um cliente seja comprometido e atender a uma gama mais ampla de requisitos operacionais", afirmou a empresa de cibersegurança.
