Os threat actors por trás do ecossistema de malware-as-a-service (MaaS) Golden Chickens voltaram à ativa com quatro novas famílias de malware, o que indica que os operadores não pretendem parar, apesar das amplas divulgações públicas sobre seu funcionamento interno.
As famílias em questão são TinyEgg, ChonkyChicken, uma variante modularizada de ChonkyChicken e uma ferramenta modificada de roubo de credenciais de navegador, codinome ChromEggscalator.
O grupo está sendo monitorado pela Insikt Group, da Recorded Future, sob o nome TAG-195.
O TAG-195 é um desenvolvedor de malware-as-a-service (MaaS) com motivação financeira, e suas ferramentas já foram associadas ao TAG-127 como operador e cliente.
A empresa de inteligência de ameaças informou ainda ter observado o TAG-127 distribuindo TinyEgg em campanhas de engenharia social no estilo ClickFix, que enganam usuários desavisados para que executem manualmente comandos maliciosos.
"As quatro novas famílias indicam uma transição arquitetural e uma evolução no ecossistema MaaS do TAG-195", afirmou a Recorded Future.
"Todas compartilham um conjunto comum de características arquitetônicas: mecanismos consistentes de comando e controle, uma abordagem compartilhada de persistência, obfuscação de strings e execução por meio do mesmo modelo de entrega."
Veja uma breve descrição de cada ferramenta:
TinyEgg, um backdoor leve de acesso inicial que fornece perfilamento do host, acesso a shell interativa e gerenciamento de persistência
ChonkyChicken, um implante completo que amplia o TinyEgg com roubo de credenciais do navegador, controle de sessões ativas no navegador usando o Chrome DevTools Protocol (CDP), execução remota com base em credenciais, reconhecimento de rede e vigilância contínua
Uma versão modularizada do ChonkyChicken, que introduz uma arquitetura de controlador e plugin e permite ao controlador solicitar e carregar, sob demanda, 14 módulos de capacidade distintos em vez de incorporar toda a funcionalidade no implante
ChromEggscalator, sucessor do TerraStealerV2 e versão modificada de uma ferramenta de bypass de criptografia do Chrome disponível publicamente, chamada ChromElevator
Essa mudança mostra que o Golden Chickens, também chamado Venom Spider, está refinando ativamente seu arsenal por meio de desenvolvimento contínuo, ao mesmo tempo em que adota deliberadamente ferramentas modulares e orientadas pelo operador para escapar de defesas.
Associadas a uma família de malware chamada More_eggs, as ferramentas do grupo já foram usadas por outras quadrilhas cibernéticas, como Cobalt Group, também chamado Cobalt Gang, Evilnum e FIN6.
Outro threat actor ligado ao MaaS da Golden Chickens é o TAG-127, que usa ClickFix ou VenomLNK como métodos de entrega.
As cadeias de ataque identificadas exploram iscas do ClickFix para executar payloads OCX baixados de uma infraestrutura de preparação controlada pelos atacantes, o que resulta na instalação do TinyEgg.
A funcionalidade do malware se limita ao acesso inicial e a funções de perfilamento, enquanto toda a capacidade pós-exploração é transferida para o ChonkyChicken.
O TinyEgg também foi projetado para encerrar a execução caso detecte sandbox e ambientes de análise automatizada.
O malware estabelece conexões com um servidor C2 usando WebSockets para viabilizar uma shell de comando interativa, executar comandos enviados pelo operador na sessão ativa, devolver a saída ao controlador e preparar payloads OCX.
Já a versão modular do ChonkyChicken oferece suporte a 14 componentes diferentes, que são baixados da infraestrutura C2 conforme a necessidade.
Isso permite aos operadores entregar seletivamente determinadas funções em tempo real, algo que arquiteturas de malware monolíticas não conseguem sustentar com facilidade sem um mecanismo de atualização.
Os 14 módulos permitem as seguintes funções:
Gerenciamento de processos
Captura de tela e enumeração de monitores
Manipulação de arquivos
Execução de comandos
Reconhecimento de rede
Reconhecimento com base em domínio
Captura da área de transferência
Keylogging
Captura de áudio
Verificação de tempo ocioso
Solicitações HTTP/S por meio do host
Roubo em navegador via ChromEggscalator
Gerenciamento de persistência
A versão modular também oferece suporte a um módulo chamado "wtrack", cuja finalidade ainda é desconhecida.
Isso sugere a adição de uma capacidade ativa em desenvolvimento.
"A transição do TAG-195 para uma arquitetura modular quase certamente reduz a exposição do implante base à detecção estática e provavelmente também reflete incentivos comerciais inerentes ao modelo MaaS, incluindo a capacidade de fornecer capacidades de forma seletiva aos operadores, limitar a exposição caso um cliente seja comprometido e atender a uma gama mais ampla de requisitos operacionais", afirmou a empresa de cibersegurança.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...