Operadores do MaaS TAG-195 introduzem arquitetura modular com TinyEgg, ChonkyChicken, ChromEggscalator e campanhas ClickFix para evasão de defesa e roubo de credenciais via Chrome.
| Componente | Ecossistema Golden Chickens (TAG-195), malware TinyEgg, ChonkyChicken, ChromEggscalator eCKeeClickFix |
| Vetor | Campanhas de engenharia social ClickFix (execução manual de comandos), download de payloads OCX e comunicação C2 via WebSockets |
| Impacto | Acesso inicial persistente, roubo de credenciais de navegador, controle de sessão via Chrome DevTools Protocol e execução remota de comandos |
| Prioridade | Monitoramento de tráfego WebSocket anômalo, bloqueio de arquivos OCX não identificados e restrição de ferramentas de depuração de navegador (CDP) em endpoints de produção |
O grupo de ameaças rastreado sob o moniker TAG-195, conhecido por operar o ecossistema de Malware-as-a-Service (MaaS) Golden Chickens (também referenciado como Venom Spider), emergiu com uma atualização significativa de seu arsenal cibernético. Apesar de extensas divulgações públicas sobre suas operações internas, os operadores demonstraram continuidade e evolução técnica, introduzindo quatro novas famílias de malware. Essas novas ferramentas — TinyEgg, ChonkyChicken, uma variante modularizada do ChonkyChicken e uma utilidade modificada para roubo de credenciais de navegador chamada ChromEggscalator — indicam uma transição arquitetural planejada para reduzir a superfície de detecção estática.
A análise técnica revela que o TAG-195 mantém sua motivação financeira, servindo como desenvolvedor principal de ferramentas utilizadas por outros atores, como o TAG-127, que atua tanto como operador quanto como cliente. A arquitetura compartilhada entre as novas famílias sugere um esforço coordenado para padronizar mecanismos de comando e controle, persistência e ofuscação de strings. A mudança para uma estrutura modular permite que os clientes do MaaS provisionem capacidades seletivamente, limitando a exposição do código caso um operador específico seja comprometido ou investigado. Essa flexibilidade comercial reflete uma adaptação às modernas defesas de endpoint, onde assinaturas estáticas de grandes binários monolíticos se tornaram menos eficazes.
A cadeia de ataque observada inicia-se frequentemente por campanhas de engenharia social no estilo ClickFix, empregadas pelo ator TAG-127. Essas iscas manipulam usuários para executarem manualmente comandos maliciosos, simulando a correção de um problema técnico ou a instalação de uma atualização. A execução manual desses comandos dispara o download de payloads no formato OCX a partir de infraestruturas de preparo controladas pelo adversário. Esse método de entrega subverte a confiança do usuário em processos de manutenção de sistema, contornando filtros de e-mail tradicionais que focam em anexos executáveis diretos.
Após a execução inicial, o malware TinyEgg é instalado. Este backdoor leve tem como função principal o acesso inicial e o perfilamento do host alvo. Uma característica notável do TinyEgg é sua capacidade anti-análise: ele detecta a presença de ambientes de sandbox ou análise automatizada e encerra sua execução para evitar a engenharia reversa. O TinyEgg estabelece comunicação com o servidor de comando e controle (C2) utilizando o protocolo WebSockets. Essa escolha estratégica permite a criação de um shell interativo onde o operador pode enviar comandos, receber a saída de console e realizar o staging de novos payloads OCX, tudo sobre um canal que pode se disfarçar como tráfego web legítimo.
Para atividades de pós-exploração mais complexas, o TinyEgg delega funções ao ChonkyChicken. Este implante completo expande as capacidades do sistema, focando no acesso a sessões de navegador. O ChonkyChicken utiliza o Chrome DevTools Protocol (CDP) para assumir o controle de sessões ativas, permitindo o roubo de credenciais salvas e a execução remota de comandos com o contexto de autenticação da vítima. A versão mais recente e modularizada do ChonkyChicken introduz uma arquitetura de controlador e plugin, possibilitando o carregamento dinâmico de 14 componentes distintos. Isso reduz o tamanho do implant inicial e dificulta a detecção baseada em assinatura, pois o código malicioso apenas se materializa na memória sob solicitação do controlador. Além disso, o ChromEggscalator atua como sucessor do TerraStealerV2, modificando ferramentas públicas de bypass de criptografia do Chrome para exfiltrar dados sensíveis armazenados no navegador.
A campanha visa principalmente organizações e usuários finais suscetíveis a engenharia social, especialmente aqueles em setores financeiros que são tradicionalmente alvos de grupos como Cobalt, Evilnum e FIN6. A dependência de ferramentas baseadas em navegador, especificamente o Google Chrome, expande significativamente a superfície de ataque, pois o malware explora funcionalidades legítimas do navegador (CDP) e o armazenamento local de credenciais.
Ambientes que permitem a execução de controles OCX ou que não restringem o uso de ferramentas de depuração em sessões de usuário estão em risco elevado. A infraestrutura de C2 baseada em WebSockets também representa um desafio para dispositivos de segurança de perímetro que não realizam inspeção profunda de tráfego criptografado e que permitem conexões de saída para portas padrão (443/80).
- Usuários de navegadores baseados em Chromium com credenciais salvas
- Ambientes corporativos com permissões amplas para execução de scripts pelos usuários
- Sistemas sem sandboxing avançado ou detecção de ambientes virtuais
- Organizações alvo de crime financeiro (setores bancário, comercial e de pagamento)
A detecção dessas ameaças requer foco em comportamentos anômalos de processos do navegador e padrões de rede não convencionais. Equipes de segurança devem procurar por instâncias de processos do navegador (como chrome.exe) spawnando subprocessos de depuração ou estabelecendo conexões locais que imitem o uso do CDP sem a intervenção do usuário ou de ferramentas de desenvolvimento autorizadas. O uso do Chrome DevTools Protocol por aplicativos não relacionados ao desenvolvimento de software é um forte indicador de comprometimento.
No nível de rede, o tráfego de saída utilizando WebSockets que exibe interações de shell (comandos curtos seguidos de respostas de texto estruturadas) devem ser correlacionados com atividades de processo. A tentativa de download ou execução de arquivos com extensão .ocx a partir de fontes desconhecidas ou da internet deve ser bloqueada e investigada, pois essa é uma etapa crítica no estágio de estadiamento do TinyEgg.
- Sinais de uso do Chrome DevTools Protocol (CDP) por processos não relacionados ao desenvolvimento
- Tráfego de rede persistente via WebSockets para domínios suspeitos ou recém-registrados
- Criação e execução de arquivos OCX fora de caminhos de aplicativos legítimos
- Terminação anormal de processos suspeitos em ambientes de sandbox (comportamento anti-análise)
- Módulos desconhecidos carregados na memória pelo navegador ou por processos filho
A resposta a essa ameaça deve priorizar a restrição do vetor de entrega ClickFix através de treinamento de conscientização de usuários, focando na verificação de comandos solicitados por pop-ups ou sites de suporte técnico. Tecnicamente, recomenda-se restringir a capacidade de execução de arquivos OCX na estáção de trabalho, desabilitando a funcionalidade se não for estritamente necessária para operações de negócio. A implementação de regras ASR (Attack Surface Reduction) para bloquear o uso do CDP por aplicações não autorizadas pode neutralizar a capacidade de roubo de sessão do ChonkyChicken.
A segmentação de rede deve ser aplicada para limitar a capacidade de shells interativos de acessarem recursos críticos. Soluções EDR devem ser configuradas para monitorar tentativas de injeção de código em processos do navegador e o carregamento de módulos do Chrome que não sejam assinados digitalmente pelo Google. A revisão de permissões de usuário locais também é vital para impedir que comandos executados via shell interativo obtenham privilégios administrativos.
- Restringir a execução de controles ActiveX (OCX) e macros não assinados
- Implementar filtros de proxy/firewall para inspecionar e bloquear WebSockets maliciosos
- Desabilitar ou restringir o acesso às portas do Chrome DevTools Protocol em endpoints de produção
- Bloquear o download de arquivos OCX da internet via soluções de seguro web gateway
- Monitorar e alertar sobre o spawn de comando operacional omitido ou comando operacional omitido initiated por processos do navegador
0 Comentários