TAG-195 evolve il MaaS con TinyEgg e ChonkyChicken modulare

🛡️ Executive Summary

• TAG-195 separa accesso iniziale e post-exploitation, distribuendo TinyEgg prima di installare ChonkyChicken soltanto sugli host ritenuti interessanti.
• La nuova architettura modulare scarica almeno quattordici plugin per shell, ricognizione, furto di credenziali, keylogging, audio e movimento laterale.
• ChromEggscalator aggira Chrome App-Bound Encryption, mentre l’abuso di regsvr32 e delle Run key riduce la visibilità del malware sugli endpoint.

Il gruppo criminale TAG-195, conosciuto anche come Golden Chickens o Venom Spider, sta trasformando il proprio Malware-as-a-Service in una piattaforma modulare destinata a più operatori. Recorded Future ha identificato quattro nuove famiglie collegate allo stesso ecosistema: TinyEgg, ChonkyChicken, una variante modulare di quest’ultimo e ChromEggscalator. La nuova generazione corregge i limiti dei precedenti TerraStealerV2 e TerraLogger, aggiungendo command-and-control bidirezionale, bypass delle protezioni di Chrome, controllo delle sessioni browser, ricognizione aziendale e sorveglianza continua. TAG-195 non distribuisce più un unico malware completo, ma installa soltanto i componenti necessari alla singola intrusione, riducendo l’esposizione del codice e aumentando la flessibilità commerciale del servizio.

ClickFix installa TinyEgg attraverso strumenti legittimi

Le campagne osservate vengono attribuite operativamente a TAG-127, cliente dell’ecosistema TAG-195, che utilizza pagine ClickFix simili a controlli CAPTCHA per convincere la vittima a copiare un comando negli appunti e incollarlo nella finestra Esegui di Windows. L’utente completa quindi personalmente la prima fase dell’infezione, aggirando buona parte dei controlli applicati ad allegati email e download tradizionali. Il comando recupera un file OCX dall’infrastruttura degli attaccanti e lo esegue tramite regsvr32.exe, utility Microsoft legittima normalmente usata per registrare componenti COM. Il payload installato è TinyEgg, una backdoor minimale che raccoglie nome del computer, utente, sistema operativo, indirizzo locale, dominio e livello dei privilegi, quindi stabilisce un canale WebSocket con il server di comando.

Le sue funzioni restano intenzionalmente limitate a shell interattiva e persistenza attraverso la chiave Run WinComCtl, creata nel profilo dell’utente. Questa separazione consente agli operatori di verificare l’accesso prima di distribuire strumenti più complessi e riduce la quantità di codice disponibile agli analisti quando l’infezione viene intercettata nelle prime fasi.

La catena segue il modello delle campagne ClickFix che inducono gli utenti a eseguire comandi malevoli presentati come verifiche di sicurezza, ma introduce una vera struttura a livelli: TinyEgg mantiene il punto d’ingresso e scarica ChonkyChicken soltanto quando l’host offre credenziali, privilegi o accesso alla rete ritenuti utili.

ChonkyChicken controlla browser e rete aziendale

ChonkyChicken rappresenta il secondo stadio e concentra capacità tipiche di un framework completo di post-exploitation. Il malware può rubare credenziali dei browser, controllare sessioni Chrome ed Edge già autenticate attraverso il Chrome DevTools Protocol, enumerare utenti e computer del dominio, identificare condivisioni SMB, porte aperte e sessioni attive, quindi eseguire comandi remoti utilizzando credenziali o token disponibili sull’host. Il controllo CDP è particolarmente rilevante perché consente di agire come l’utente dentro una sessione già aperta, raggiungendo applicazioni e dati che potrebbero restare accessibili anche dopo il cambio della password.

Il browser viene avviato fuori dall’area visibile dello schermo, con il debugging remoto abilitato, permettendo all’operatore di inviare direttamente comandi e ricevere le risposte dell’interfaccia. Il malware supporta inoltre keylogging con registrazione della finestra attiva, monitoraggio degli appunti, cattura audio e trasmissione continua dello schermo. La ricognizione combina ARP, NetBIOS, scansione TCP e interrogazioni SMB per costruire una mappa dell’infrastruttura prima di tentare il movimento laterale. Questa ampiezza conferma che ChonkyChicken non è un semplice infostealer, ma uno strumento destinato a permanere nella rete e sostenere attività controllate manualmente. Il modello ricorda l’evoluzione di LummaStealer affiancato da CastleLoader per distribuire payload successivi, ma TAG-195 integra nello stesso ecosistema accesso, sorveglianza, furto delle sessioni e movimento tra i sistemi aziendali.

ChromEggscalator supera la protezione delle password Chrome

La precedente generazione TAG-195 non riusciva a superare App-Bound Encryption, protezione introdotta da Google per legare la cifratura delle credenziali al contesto dell’applicazione Chrome. Il nuovo helper ChromEggscalator risolve questa lacuna modificando ChromElevator, strumento open source progettato per aggirare ABE. Gli sviluppatori criminali hanno rimosso l’interfaccia a riga di comando, trasformato il programma in un file OCX, aggiunto controlli sul nome utilizzato durante l’esecuzione e adattato l’output affinché ChonkyChicken possa raccoglierlo automaticamente.

Il componente viene scaricato nella directory temporanea, eseguito tramite un binario Windows legittimo e utilizzato per estrarre hash, credenziali e informazioni sullo stato del browser, successivamente inviate al C2. Il controllo del nome del file e del percorso di caricamento impedisce al malware di funzionare quando viene rinominato o avviato fuori dalla catena prevista, ostacolando sandbox e sistemi automatici di analisi. ChromEggscalator lascia comunque un indicatore utile nel file C:\ProgramData\xlog.txt, mentre ChonkyChicken può generare %TEMP%\lg.txt quando i controlli preliminari falliscono. La scelta mostra come i MaaS moderni incorporino rapidamente strumenti pubblici, modificandoli per adattarli al proprio protocollo e limitarne l’uso fuori dall’ecosistema. Lo stesso modello è stato osservato nei loader descritti nell’analisi di OXLOADER e CASTLESTEALER, dove codice disponibile, binari legittimi e componenti specializzati vengono assemblati in una catena commerciale pronta per operatori differenti.

La modularità trasforma il malware in una piattaforma commerciale

La variante più recente di ChonkyChicken separa completamente il controller dalle capacità operative. Il file base gestisce registrazione, WebSocket, richieste e ciclo di vita dei plugin, ma non contiene stabilmente gli strumenti per rubare file, registrare tasti o scandire la rete. Quando l’operatore invia un comando, il controller richiede al C2 il modulo necessario, lo decodifica, lo salva temporaneamente e lo carica in memoria. Recorded Future ha identificato almeno quattordici plugin dedicati a processi, schermo, file, shell, rete, dominio, clipboard, keylogging, audio, proxy, Chrome e persistenza. Questa struttura riduce la superficie statica rilevabile, perché un host destinato soltanto alla raccolta di credenziali non deve ricevere i moduli per la sorveglianza o il movimento laterale. Permette inoltre al fornitore MaaS di offrire funzionalità differenti ai clienti, aggiornare un singolo componente senza sostituire l’impianto e limitare i danni quando un operatore o un campione viene analizzato. Gli elementi comuni restano l’esecuzione dei file OCX tramite regsvr32.exe, la persistenza nella Run key, l’offuscamento delle stringhe e il protocollo WebSocket basato su messaggi JSON. I difensori devono quindi privilegiare il comportamento rispetto all’hash del singolo file: comandi ClickFix copiati negli appunti, OCX eseguiti da directory scrivibili, browser avviati con remote debugging, chiavi WinComCtl, connessioni WebSocket insolite e moduli caricati da percorsi temporanei costituiscono segnali più durevoli. TAG-195 non sta semplicemente aggiornando un malware: sta costruendo un’infrastruttura commerciale nella quale accesso iniziale, furto delle credenziali e controllo della rete vengono venduti come capacità componibili e distribuite su richiesta.