Четыре новых семейства вредоносного ПО от Golden Chickens: модульная архитектура и обход защиты Chrome

Группировка TAG-195 уже давно предоставляет криминальным операторам инструменты для кражи учётных данных и удалённого доступа. Среди её клиентов - такие известные группы, как FIN6, Cobalt Group и Evilnum. Кроме того, с экосистемой TAG-195 связана группа TAG-127, которая использует доставку вредоносного ПО через фишинговые страницы с фальшивыми проверками безопасности (ClickFix). Именно с помощью ClickFix злоумышленники заманивают жертв на поддельные сайты, где те вручную копируют и выполняют вредоносные команды, обходя стандартные средства защиты электронной почты и файлов.

Первым звеном в цепочке заражения выступает TinyEgg - лёгкий бэкдор для первоначального доступа. Он собирает информацию о системе, предоставляет интерактивную командную оболочку и управляет закреплением в системе. После успешной установки TinyEgg может получить команду на загрузку второго, более мощного компонента - ChonkyChicken. Согласно отчёту Insikt Group, подразделения Recorded Future, ChonkyChicken расширяет возможности до кражи учётных данных браузера, автоматизации сессий, бокового перемещения по сети и непрерывного наблюдения за активностью жертвы. Особое внимание уделено краже паролей из браузеров на основе Chromium: для обхода шифрования App-Bound Encryption (ABE) используется модифицированная утилита ChromEggscalator.

ChromEggscalator является адаптированной версией публично доступного инструмента ChromElevator. Разработчики TAG-195 удалили его интерфейс командной строки, переупаковали в файл OCX (формат для компонентов COM), добавили проверку имени файла и изменили формат вывода данных для интеграции с ChonkyChicken. Эта модификация позволяет обойти защиту Chrome, которая ранее была непреодолимой для предыдущих версий вредоносного ПО группы. Кроме того, модульная версия ChonkyChicken реализована в архитектуре "контроллер-плагин": базовый модуль отвечает только за связь с командно-контрольным сервером и загрузку отдельных модулей по мере необходимости. Выявлено не менее четырнадцати таких модулей - от управления процессами и экрана до сбора аудио, ведения журнала нажатий клавиш и опроса сети. Такая конструкция снижает вероятность обнаружения статическими антивирусными средствами, так как на диске хранится лишь оболочка без встроенных вредоносных возможностей.

Несмотря на различия в функциональности, все четыре семейства объединяют общие архитектурные черты. Каждый компонент проверяет, что его ожидаемое имя файла присутствует в командной строке и пути загрузки - это предотвращает запуск в изолированных средах и песочницах. Все компоненты упакованы в OCX и выполняются через легальную утилиту Windows regsvr32.exe. Связь с управляющим сервером осуществляется через WebSocket-соединение с маскировкой трафика по стандарту RFC 6455, что затрудняет сигнатурный анализ на сетевом уровне. Для закрепления в системе используется один и тот же ключ реестра WinComCtl в ветке Run. Таким образом, единое правило обнаружения этого ключа покрывает все версии вредоносного ПО.

Для организаций, стремящихся защититься от атак через экосистему TAG-195, рекомендуется в первую очередь обратить внимание на контроль выполнения команд через буфер обмена. ClickFix-кампании заставляют пользователя скопировать и вставить команду - блокировка или ограничение диалога "Выполнить" через групповые политики может существенно снизить риск. Также необходимо отслеживать запуск regsvr32.exe из пользовательских каталогов (например, %TEMP% или %APPDATA%) - это прямое указание на возможную загрузку OCX. Мониторинг создания ключа реестра WinComCtl, а также появление файлов chromelevator.ocx или xlog.txt в каталоге ProgramData должно вызывать немедленную реакцию. Дополнительно следует внедрить правила для блокировки браузеров с флагами удалённой отладки (--remote-debugging-port) - это признак попытки перехвата активных сессий.

Выявленные инструменты подтверждают, что Golden Chickens продолжают активную разработку, переходя от монолитных вредоносных программ к модульным платформам с возможностью выборочного развёртывания возможностей. Обнаружение модуля wtrack, назначение которого пока не установлено, указывает на появление новых функций в будущем. Использование локального адреса localhost в тестовой конфигурации модульного ChonkyChicken говорит о том, что часть экосистемы ещё находится в стадии разработки, и следует ожидать дальнейших обновлений. Операторам систем безопасности стоит готовиться к тому, что атаки будут всё чаще использовать легитимные системные утилиты и обходные механизмы, а детектирование должно опираться на поведенческие индикаторы, а не на статические сигнатуры.