Golden Chickens Criminal Group
Golden Chickens to nazwa przypisana kryminalnej grupie hakerów, której udało się ugruntować pozycję czołowego dostawcy zagrożeń złośliwym oprogramowaniem w schemacie MaaS (Malware-as-a-Service). Skuteczność ich złośliwych narzędzi i infrastruktury Command-and-Control (C2, C&C) przyciągnęła nawet grupy APT (Advanced Persistent Threat) jako swoich klientów. Golden Chickens oferują swoje usługi na podziemnych forach, a ich arsenał obejmuje dwa zestawy budowlane o nazwach Venom i Taurus, a także wyrafinowane zagrożenie trojańskie typu backdoor o nazwie more_eggs (Terra Loader, SpicyOmelette).
Złośliwe produkty Złotych Kurczaków
Pierwszym zestawem do budowania oferowanym przez Golden Chickens jest VenomKit. Jest to wyspecjalizowane narzędzie, które umożliwia cyberprzestępcom tworzenie niestandardowych, złośliwych dokumentów w formacie RTF. Kilka różnych luk może zostać wykorzystanych jako punkt naruszenia systemu komputerowego celu, w tym CVE-2018-8174, CVE-2017-11882 i CVE-2018-0802. Ładunek drugiego etapu można pobrać z zasobu WWW za pomocą plików wsadowych i skryptletów.
Drugi konstruktor nazywa się Taurus Builder Kit. Służy do tworzenia dokumentów MS Word zawierających złośliwy kod makr VBA (Visual Basic for Application). Korzystanie z tej metody daje większą szansę na uniknięcie wykrycia przez rozwiązania chroniące przed złośliwym oprogramowaniem, ale wymaga interakcji ofiary w celu włączenia złośliwego kodu. Kod VBA może pobierać i uruchamiać dodatkowe ładunki złośliwego oprogramowania, wykorzystując legalne narzędzia systemu Windows.
Backdoor more_eggs to wyrafinowane zagrożenie, które było wykorzystywane w operacjach wielu grup APT, takich jak Evilnum, FIN6 i Cobalt Group. W swojej istocie more_eggs to backdoor JavaScript zdolny do wysyłania sygnału nawigacyjnego do serwera C2 i pobierania dodatkowych ładunków szkodliwego oprogramowania na końcowym etapie pobierania z zewnętrznego zasobu internetowego. More_eggs ma kilka atrybutów, które można dostosować do potrzeb klienta, takich jak serwer C2, sygnały nawigacyjne i liczniki czasu uśpienia i nie tylko.
