Golden Chickens Criminal Group
Golden Chickens es el nombre asignado a un grupo de hackers criminales que ha logrado establecerse como un proveedor destacado de amenazas de malware en un esquema MaaS (Malware-as-a-Service). La efectividad de sus herramientas maliciosas y la infraestructura de Comando y Control (C2, C&C) ha logrado atraer incluso a grupos APT (Amenaza Persistente Avanzada) como sus clientes. Golden Chickens ofrece sus servicios en foros clandestinos y su arsenal incluye dos kits de construcción llamados Venom y Taurus, así como una sofisticada amenaza troyana de puerta trasera llamada more_eggs (Terra Loader, SpicyOmelette).
Productos maliciosos de los pollos dorados
El primer kit de construcción ofrecido por Golden Chickens es VenomKit. Es una herramienta especializada que permite a los actores de amenazas crear documentos personalizados de archivos de texto enriquecido (RTF) maliciosos. Se pueden explotar varias vulnerabilidades diferentes como un punto de infracción en el sistema informático del objetivo, incluidos CVE-2018-8174, CVE-2017-11882 y CVE-2018-0802. La carga útil de la segunda etapa se puede descargar desde un recurso web a través de archivos por lotes y scriptlet.
El segundo constructor se llama Taurus Builder Kit. Se utiliza para crear documentos de MS Word que llevan código de macro VBA (Visual Basic para aplicaciones) malicioso. El uso de este método ofrece una mayor posibilidad de evitar la detección por parte de las soluciones anti-malware, pero requiere la interacción de la víctima para habilitar el código malicioso. El código VBA es capaz de descargar y ejecutar cargas útiles de malware adicionales mediante la explotación de herramientas legítimas de Windows.
La puerta trasera more_eggs es una amenaza sofisticada que se ha empleado en las operaciones de múltiples grupos APT como Evilnum, FIN6 y Cobalt Group. En esencia, more_eggs es una puerta trasera de JavaScript capaz de enviar una baliza a un servidor C2 y obtener cargas útiles de malware de etapa final adicionales descargadas desde un recurso web externo. More_eggs tiene varios atributos que se pueden personalizar de acuerdo con los deseos del cliente, como el servidor C2, la baliza y los temporizadores de suspensión, y más.
