Golden Chickens Kembali dengan 4 Malware Baru dan Implan Modular Canggih

Kelompok pelaku ancaman di balik ekosistem malware-as-a-service (MaaS) Golden Chickens kembali muncul dengan empat keluarga malware baru, menandakan bahwa operator ini belum menunjukkan tanda-tanda berhenti meski telah banyak pengungkapan publik mengenai metode mereka.

Keluarga malware yang baru ditemukan ini yaitu TinyEgg, ChonkyChicken, varian modular dari ChonkyChicken, serta sebuah utilitas pencuri kredensial browser yang dimodifikasi bernama ChromEggscalator. Kelompok riset Recorded Future Insikt Group melacak kelompok ini dengan nama sandi TAG-195.

Profil dan Evolusi Golden Chickens

TAG-195 merupakan pengembang malware MaaS yang bermotif finansial, sebelumnya terkait dengan operator dan pelanggan TAG-127. Dalam pengamatannya, TAG-127 juga diketahui menggunakan TinyEgg melalui kampanye rekayasa sosial bergaya ClickFix yang menipu korban agar menjalankan perintah berbahaya secara manual.

"Empat keluarga malware ini menunjukkan transisi arsitektur dan evolusi dalam ekosistem MaaS TAG-195," kata Recorded Future. "Keempatnya memiliki kesamaan dalam mekanisme command-and-control (C2), metode persistensi, obfuscation string, serta model eksekusi pengiriman yang sama."

Detail Empat Malware Baru

1. TinyEgg: Backdoor ringan untuk akses awal yang menyediakan profiling host, shell interaktif, dan manajemen persistensi.
2. ChonkyChicken: Implan lengkap yang mengembangkan fungsi TinyEgg dengan pencurian kredensial browser, kontrol sesi browser secara langsung menggunakan Chrome DevTools Protocol (CDP), eksekusi jarak jauh berbasis kredensial, pengintaian jaringan, dan pengawasan berkelanjutan.
3. Varian modular ChonkyChicken: Memperkenalkan arsitektur controller-dan-plugin yang memungkinkan pengunduhan dan pemuatan 14 modul kapabilitas secara on-demand, menggantikan fungsi monolitik yang ditanam langsung di implan.
4. ChromEggscalator: Penerus TerraStealerV2, modifikasi dari alat bypass enkripsi Chrome publik bernama ChromElevator, digunakan untuk pencurian kredensial browser.

Perubahan ini menandakan Golden Chickens, yang juga dikenal sebagai Venom Spider, secara aktif menyempurnakan arsenalnya dengan pengembangan berkelanjutan dan beralih ke alat modular yang dikendalikan operator guna menghindari deteksi.

Penggunaan dan Metode Serangan

Malware ini, yang terkait dengan keluarga bernama More_eggs, telah digunakan oleh kelompok kejahatan siber lain seperti Cobalt Group (Cobalt Gang), Evilnum, dan FIN6. Selain itu, operator lain yang berkaitan dengan MaaS Golden Chickens adalah TAG-127, yang menggunakan metode pengiriman ClickFix atau VenomLNK.

Serangkaian serangan biasanya memanfaatkan umpan ClickFix untuk mengeksekusi payload OCX yang diunduh dari infrastruktur staging yang dikendalikan penyerang, lalu menginstal TinyEgg. Fungsi TinyEgg terbatas pada akses awal dan profiling, sementara kemampuan eksploitasi lanjutan diserahkan pada ChonkyChicken. TinyEgg juga dirancang untuk menghentikan eksekusi jika mendeteksi lingkungan sandbox atau analisis otomatis.

Malware ini melakukan koneksi ke server C2 menggunakan protokol WebSockets untuk menyediakan shell perintah interaktif, menjalankan input operator, mengirim hasil kembali ke pengendali, dan menyiapkan payload OCX.

Fitur Modul dari Varian Modular ChonkyChicken

Varian modular ChonkyChicken mendukung 14 modul berbeda yang dapat dimuat sesuai kebutuhan dari infrastruktur C2, memberikan fleksibilitas fungsi yang tidak mudah dicapai oleh malware monolitik tanpa pembaruan. Modul-modul ini meliputi:

• Manajemen proses
• Pengambilan layar dan enumerasi monitor
• Manipulasi file
• Eksekusi perintah
• Pengintaian jaringan
• Pengintaian berbasis domain
• Penangkapan clipboard
• Perekaman ketikan (keylogging)
• Perekaman audio
• Pemeriksaan waktu idle
• Permintaan HTTP/S melalui host
• Pencurian browser melalui ChromEggscalator
• Manajemen persistensi
• Modul "wtrack" dengan fungsi yang belum diketahui, menandakan fitur aktif yang sedang dikembangkan

"Transisi TAG-195 ke arsitektur modular hampir pasti mengurangi eksposur deteksi statis pada implan dasar, dan juga mencerminkan insentif komersial dalam model MaaS, termasuk kemampuan menyediakan kapabilitas secara selektif kepada operator, membatasi risiko jika pelanggan terkena kompromi, serta memenuhi kebutuhan operasional yang lebih luas," ujar Recorded Future.

Analisis Redaksi

Menurut pandangan redaksi, kemunculan kembali Golden Chickens dengan empat keluarga malware baru ini adalah indikasi nyata bahwa kelompok kejahatan siber ini terus berinovasi dan memperkuat taktik mereka untuk menghindari deteksi dan memperluas jangkauan serangan. Pendekatan modular yang mereka adopsi bukan hanya soal efisiensi teknis, tapi juga strategi bisnis dalam model MaaS yang memungkinkan fleksibilitas penyesuaian alat sesuai kebutuhan operator atau pelanggan tertentu.

Hal ini sangat mengkhawatirkan karena modularitas tersebut membuat malware lebih sulit diidentifikasi dan diatasi oleh solusi keamanan tradisional yang mengandalkan tanda tangan statis. Selain itu, kemampuan kontrol sesi browser secara langsung dan pencurian kredensial yang canggih melalui ChromEggscalator membuka celah besar bagi pencurian data pribadi dan komersial. Organisasi dan pengguna internet harus meningkatkan kewaspadaan, memperkuat protokol keamanan, dan terus memantau perkembangan ancaman ini.

Ke depan, kita perlu mengawasi bagaimana Golden Chickens dan kelompok terkait seperti TAG-127 dan Cobalt Gang mengembangkan alat mereka serta strategi distribusinya. Dukungan intelijen ancaman yang terus diperbarui menjadi kunci untuk deteksi dini dan mitigasi serangan yang semakin kompleks ini.

Untuk informasi lebih lanjut dan update terkini, kunjungi sumber asli artikel ini di The Hacker News dan ikuti berita keamanan siber terpercaya lainnya.