Grup criminal Golden Chickens
Golden Chickens és el nom assignat a un grup de pirates informàtics criminals que ha aconseguit establir-se com a proveïdor destacat d'amenaces de programari maliciós en un esquema MaaS (Malware-as-a-Service). L'efectivitat de les seves eines malicioses i la infraestructura de comandament i control (C2, C&C) ha aconseguit atraure fins i tot grups APT (amenaça persistent avançada) com a clients. Golden Chickens ofereix els seus serveis en fòrums subterranis i el seu arsenal inclou dos kits de construcció anomenats Venom i Taurus, així com una sofisticada amenaça de troia de la porta del darrere anomenada more_eggs (Terra Loader, SpicyOmelette).
Productes maliciosos de Golden Chickens
El primer kit de construcció que ofereix Golden Chickens és VenomKit. És una eina especialitzada que permet als actors d'amenaces crear documents personalitzats de fitxers de text enriquit (RTF) maliciosos. Es poden explotar diverses vulnerabilitats diferents com a punt d'incompliment al sistema informàtic de l'objectiu, com ara CVE-2018-8174, CVE-2017-11882 i CVE-2018-0802. La càrrega útil de la segona etapa es pot descarregar des d'un recurs web mitjançant fitxers per lots i scriptlet.
El segon constructor es diu Taurus Builder Kit. S'utilitza per crear documents MS Word que porten codi de macro VBA (Visual Basic for Application) maliciós. L'ús d'aquest mètode ofereix més possibilitats d'evitar la detecció per solucions anti-malware, però requereix la interacció de la víctima per habilitar el codi maliciós. El codi VBA és capaç de descarregar i executar càrregues útils addicionals de programari maliciós mitjançant l'explotació d'eines legítimes de Windows. La porta del darrere more_eggs és una amenaça sofisticada que s'ha utilitzat en les operacions de diversos grups APT com Evilnum , FIN6 i Cobalt Group . En el seu nucli, more_eggs és una porta posterior de JavaScript capaç d'enviar una balisa a un servidor C2 i d'aconseguir càrregues útils addicionals de programari maliciós d'etapa final baixades d'un recurs web extern. More_eggs té diversos atributs que es poden personalitzar segons els desitjos del client, com ara el servidor C2, els temporitzadors de balisa i de repòs, i molt més.
