Il gruppo Golden Chickens torna a far parlare di sé nel panorama della sicurezza informatica con un aggiornamento significativo del proprio ecosistema malware as a service. La riemersione è legata alla comparsa di quattro nuove famiglie di malware che mostrano una chiara evoluzione tecnica e un orientamento sempre più marcato verso architetture modulari.
Questo modello rende gli attacchi più flessibili e difficili da rilevare, perché le funzionalità possono essere caricate solo quando servono, riducendo la superficie di rilevamento statico.
TinyEgg
Tra i nuovi strumenti identificati spicca TinyEgg, una backdoor leggera pensata per la fase di initial access. TinyEgg consente il profiling dell’host, l’accesso a una shell interattiva e la gestione della persistenza, gettando le basi per attività successive più invasive. Un elemento rilevante è la capacità di interrompere l’esecuzione quando rileva ambienti di sandbox o analisi automatizzata, tecnica tipica di difesa contro i sistemi di detection.
ChonkyChicken
Il secondo componente, ChonkyChicken, rappresenta un impianto molto più completo. Estende le capacità di TinyEgg includendo furto di credenziali dai browser, controllo in tempo reale delle sessioni di Chrome tramite Chrome DevTools Protocol, esecuzione remota basata su credenziali, ricognizione di rete e sorveglianza prolungata. La possibilità di manipolare sessioni browser live aumenta il rischio di compromissione di account e accessi senza dover necessariamente esfiltrare password in chiaro.
ChonkyChicken modularizzato (controller + plugin)
La novità più strategica è una versione modularizzata di ChonkyChicken che adotta un modello controller + plugin. Invece di includere tutto nel payload principale, il controller può richiedere e caricare su richiesta fino a 14 moduli di capacità.
Moduli citati:
- Gestione processi
- Screenshot ed enumerazione monitor
- Manipolazione file
- Esecuzione comandi
- Network reconnaissance
- Domain reconnaissance
- Cattura clipboard
- Keylogging
- Cattura audio
- Controllo idle time
- Richieste HTTP e HTTPS tramite host
- Furto dati browser tramite componente dedicato
- Gestione persistenza
- wtrack (finalità non chiarite)
È presente anche un modulo chiamato wtrack con finalità non chiarite, segnale di sviluppo attivo.
ChromEggscalator
Infine ChromEggscalator si configura come un’evoluzione di tool per il furto di credenziali e dati browser, basato su tecniche di bypass della cifratura di Chrome. Nel complesso, la catena di infezione osservata sfrutta campagne di social engineering in stile ClickFix, inducendo le vittime a eseguire manualmente comandi malevoli che avviano il download e l’esecuzione dei payload.