Golden Chickens xuất hiện lại với 4 họ mã độc mới và kiến trúc cấy ghép mô-đun
"Recorded Future reports that the Golden Chickens malware-as-a-service ecosystem has resurfaced with four new malware families: TinyEgg, ChonkyChicken, a modular ChonkyChicken variant, and ChromEggscalator. The new tooling emphasizes modular, operator-driven capabilities, including browser credential theft, remote shell access, reconnaissance, persistence, and sandbox evasion, but no CVE is mentioned and the article focuses on evolving malware architecture rather than a software patch or vulnerability fix."
Nguy cơ gia tăng do chuyển sang kiến trúc mô-đun giúp giảm dấu hiệu tĩnh và cho phép triển khai chọn lọc năng lực; đồng thời có các chức năng đánh cắp thông tin đăng nhập trình duyệt và né sandbox làm tăng khả năng sống sót trong môi trường phòng thủ.
Tác động chủ yếu đến rủi ro xâm nhập tài khoản và gián đoạn vận hành do chuỗi tấn công có thể mở rộng sang nhiều giai đoạn; chi phí phòng thủ tăng vì cần giám sát sâu hành vi C2 và trình duyệt, dù không liên quan trực tiếp đến bản vá CVE.
Theo Recorded Future, hệ sinh thái malware-as-a-service (MaaS) Golden Chickens (còn gọi Venom Spider) đã quay lại với 4 họ mã độc mới: TinyEgg, ChonkyChicken, một biến thể ChonkyChicken dạng mô-đun, và tiện ích đánh cắp thông tin đăng nhập trình duyệt ChromEggscalator. Nhóm được Insikt Group theo dõi dưới mã TAG-195.
Các công cụ mới nhấn mạnh khả năng vận hành theo hướng mô-đun do người vận hành điều khiển, bao gồm trộm browser credential, truy cập remote shell, trinh sát, cơ chế persistence, và né môi trường phân tích/sandbox. Bài viết không nêu CVE hay bản vá phần mềm, mà tập trung vào sự thay đổi kiến trúc trong hệ MaaS.
Cụ thể, TinyEgg đóng vai trò backdoor giai đoạn đầu, thực hiện host profiling, cung cấp shell tương tác và quản lý persistence; đồng thời có cơ chế dừng khi phát hiện sandbox/analysis tự động. ChonkyChicken mở rộng năng lực với điều khiển phiên trình duyệt qua Chrome DevTools Protocol (CDP), thực thi từ xa dựa trên thông tin đăng nhập và trinh sát mạng.
Biến thể mô-đun cho phép bộ điều khiển yêu cầu nạp 14 capability modules từ hạ tầng C2 theo nhu cầu, giảm bề mặt phát hiện tĩnh. Khuyến nghị: siết kiểm soát thực thi lệnh thủ công từ chiến dịch social engineering, tăng giám sát kết nối WebSockets/C2, và rà soát hành vi bất thường liên quan đến CDP, đánh cắp clipboard/ghi phím, cũng như cơ chế persistence.