Os atores de ameaças por trás do ecossistema de malware-as-a-service (MaaS) Golden Chickens ressurgiram com quatro novas famílias de malware, indicando que os operadores não mostram sinais de parar apesar de divulgações públicas extensas sobre seus trabalhos internos. A reaparição do Golden Chickens marca uma evolução significativa na tática de entrega de malware, focando em modularidade e persistência avançada.
Novas famílias de malware
As famílias de malware em questão são: TinyEgg, ChonkyChicken, uma variante modularizada do ChonkyChicken e uma variante modificada de navegador web para credenciais. A introdução dessas novas famílias sugere uma adaptação rápida às medidas de defesa e uma busca contínua por vetores de infecção mais eficientes. O TinyEgg, por exemplo, foca em técnicas de ofuscação leve para evitar detecção por antivírus tradicionais, enquanto o ChonkyChicken utiliza métodos mais pesados de persistência no registro e serviços do sistema.
Estratégia de MaaS
O modelo de Malware-as-a-Service permite que grupos menores ou indivíduos adquiram acesso a ferramentas sofisticadas sem precisar desenvolver suas próprias capacidades técnicas. A modularização do ChonkyChicken permite que os operadores personalizem o malware para alvos específicos, adicionando ou removendo funcionalidades conforme necessário. Isso aumenta a flexibilidade do ataque e dificulta a detecção baseada em assinaturas estáticas.
A persistência é um componente chave da estratégia do Golden Chickens. Os implantes modulares são projetados para sobreviver a reinicializações e tentativas de remoção, garantindo que o acesso permaneça disponível para operações de longo prazo. Isso inclui o uso de técnicas de rootkit e a integração profunda com o sistema operacional para esconder processos e arquivos.
Indicadores de comprometimento
Embora os detalhes específicos dos IOCs não tenham sido totalmente divulgados, a natureza modular do malware sugere que os atacantes podem variar os hashes e nomes de arquivo frequentemente. Monitoramento de tráfego de rede para conexões C2 incomuns e análise de comportamento de sistema em tempo real são essenciais para detectar a presença desses implantes.
A reaparição do Golden Chickens serve como um lembrete de que as ameaças cibernéticas evoluem constantemente. As organizações devem manter suas defesas atualizadas, realizar varreduras regulares de vulnerabilidades e educar seus funcionários sobre os riscos de phishing e engenharia social que podem levar à infecção inicial.
O que os CISOs devem fazer agora
As equipes de segurança devem revisar seus sistemas de detecção para identificar padrões associados às novas famílias de malware. A implementação de soluções de resposta a incidentes automatizadas pode ajudar a conter rapidamente qualquer infecção. Além disso, a colaboração com comunidades de inteligência de ameaças é vital para obter informações atualizadas sobre as táticas, técnicas e procedimentos (TTPs) do Golden Chickens.