LONDON (IT BOLTWISE) – Eine MaaS-Umgebung hinter „Golden Chickens“ legt erneut nach: Vier neue Malware-Familien tauchen auf, darunter ein modularer Umbau des Kern-Implants. Damit verschiebt sich die Angriffslogik von fest eingebetteten Funktionen hin zu einer Controller-und-Plugin-Architektur, die Fähigkeiten bei Bedarf nachlädt. Analysten ordnen das als gezielte Anpassung zur Reduktion statischer Detektion ein. Entscheidend ist dabei, wie die neuen Module über konsistente C2-Mechanismen, String-Obfuskation und eine gemeinsame Persistenzstrategie zusammenwirken.
Die MaaS-Umgebung hinter „Golden Chickens“ – auch unter dem Namen „Venom Spider“ geführt – erscheint in der Praxis weniger als einmaliger Schlag, sondern als laufende Produktlinie. Laut der aktuellen Auswertung von Recorded Future steckt der Betreiberkreis unter anderem als TAG-195 in einer finanziell motivierten Malware-as-a-Service-Entwicklung. Besonders relevant für Verteidiger: Vier neue Malware-Familien treten nun auf, darunter zwei Stufen für den anfänglichen Zugriff und ein deutlich modularer Umbau des eigentlichen Implantats. Zusätzlich wird eine überarbeitete Browser-Credential-Abschlusskomponente mit einem neuen Codenamen beschrieben, die an bestehende Stealer-Mechaniken anknüpft.
Technisch fällt vor allem der Rollenwechsel im Setup auf: Die neue Kette beginnt mit TinyEgg als „leichter“ Initial-Access-Backdoor, die zunächst Host-Profilerstellung betreibt und eine Interaktion über eine Shell sowie Persistenzmanagement übernimmt. TinyEgg ist dabei nicht dafür gedacht, das gesamte Post-Exploitation-Programm selbst auszurollen; diese Aufgabe geht an ChonkyChicken über. Damit folgt das Ökosystem einer typischen MaaS-Logik, bei der die Stufe für Selektion und Start sauber getrennt ist von der Stufe mit voller Implant-Funktionalität. Im Detail wird für ChonkyChicken eine Palette beschrieben, die über reine Kommandoausführung hinausgeht: Browser-Credential-Theft, Kontrolle von Live-Browsersitzungen über das Chrome DevTools Protocol (CDP), credential-basierte Remote Execution sowie Netzwerk-Recon und eine länger anhaltende Überwachung.
Der größte Architekturhinweis steckt jedoch in der „modularisierten“ Variante von ChonkyChicken. Statt ein monolithisches Implant mit allen Fähigkeiten in einem Paket auszuliefern, setzt TAG-195 auf eine Controller-und-Plugin-Struktur: Der Controller kann dem Implant zur Laufzeit 14 diskrete Capability-Module anfordern und nachladen. Diese Umstellung ist mehr als kosmetisch, weil sie die statische Angriffsoberfläche verändert. Analysten verknüpfen das mit gemeinsamen Merkmalen über alle vier Familien hinweg – darunter konsistente Command-and-Control-Mechanismen, eine geteilte Persistenzstrategie, String-Obfuskation und derselbe Delivery-Ansatz. Für die Verteidigung heißt das: Signaturen, die auf einem einzigen, erwartbaren Binärlayout beruhen, können schlechter greifen, wenn einzelne Module unabhängig voneinander wechseln oder nur selektiv ausgeliefert werden.
Konkrete Module machen die Richtung greifbar. Die modularisierte ChonkyChicken-Variante soll Fähigkeiten wie Process Management, Screen Capture und Monitor-Enumeration, File Manipulation, Command Execution sowie Network- und Domain-Recon abdecken. Ergänzend werden Clipboard Capture, Keylogging und Audio Capture genannt, außerdem eine Idle-Time-Prüfung, HTTP/S-Anfragen über den Host und die Browser-Täuschung bzw. -Ausleitung über die neue ChromEggscalator-Komponente. Interessant ist außerdem, dass ein Modul namens „wtrack“ in der Architektur auftaucht, dessen Zweck unbekannt bleibt. In der Kombination deutet das auf eine laufende Entwicklung hin: Zwischen bereits bekannten Stealer-, Recon- und Überwachungsfähigkeiten wird offenbar Platz für eine neue oder noch verdeckte Funktion geschaffen.
Für die Startphase nennen die Erkenntnisse außerdem Social-Engineering-Mechanismen mit ClickFix-ähnlichen Lures. Dabei sollen Nutzer dazu gebracht werden, manuell bösartige Kommandos auszuführen; zudem wird beschrieben, dass Attack Chains OCX-Payloads nutzen, die über eine attacker-kontrollierte Staging-Infrastruktur bereitgestellt und anschließend installiert werden. TinyEgg terminiert die Ausführung gezielt, wenn Hinweise auf Sandbox- oder automatisierte Analyseumgebungen entdeckt werden. Auf Protokoll-Ebene wird das Zusammenspiel mit der Kommandozentrale über WebSockets dargestellt, um einen interaktiven Command Shell-ähnlichen Kanal aufzubauen: Der Angreifer liefert Eingaben für Befehle, das Implant sendet Ausgaben zurück und kann parallel OCX-Payloads „stagen“. Diese Kombination aus frühem Exit bei Analyse und interaktiver, bidirektionaler Steuerung ist typisch für Teams, die sowohl Entwicklungsgeschwindigkeit als auch operative Flexibilität priorisieren.
Die vierte neu eingeführte Familie, ChromEggscalator, wird als Nachfolger einer früheren Credential-Stealer-Komponente beschrieben und zudem als modifizierte Version eines öffentlich dokumentierten Chrome-„Encryption-bypass“-Werkzeugs. In der Gesamtschau passt das zu ChonkyChicken, weil der Stealer Teil der Browser-Session-Steuerung und des Credential-Abgreifens sein soll. Für den Markt ergibt sich daraus ein belastbares Bild: Das Golden-Chickens- bzw. Venom-Spider-Ökosystem bleibt laut Einordnung aktiv und verfeinert seine Tools fortlaufend. Zudem wird das Umfeld als MaaS vernetzt beschrieben, in dem andere Gruppen die Implantate nutzen – darunter werden Cobalt Group (auch „Cobalt Gang“), Evilnum und FIN6 genannt. Für TAG-127, einen weiteren Akteur im Umfeld, werden ClickFix bzw. VenomLNK als Delivery-Methoden erwähnt, wobei TinyEgg vor allem als initiale Stufe dient und die umfassenden Post-Exploitation-Fähigkeiten an ChonkyChicken delegiert werden.
Strategisch ist die modulare Architektur besonders relevant, weil sie die kommerzielle Logik eines MaaS-Systems direkt abbildet: Fähigkeiten können selektiv an Operatoren „provisioniert“ werden, die Exponierung lässt sich reduzieren, falls ein Kunde kompromittiert wird, und unterschiedliche operative Anforderungen lassen sich mit demselben Basis-Implant eher abdecken als mit rein monolithischen Releases. Analysten stellen zudem den Zusammenhang her, dass TAG-195s Übergang zu modularen Komponenten die statische Detektionswahrscheinlichkeit des Basis-Implants reduziert. Genau daran wird sich die Verteidigung künftig orientieren müssen: nicht nur auf einzelne Familien, sondern auch auf das Muster der Lieferkette (Initial-Access via TinyEgg, Delegation an ChonkyChicken), auf die Art der Command-and-Control-Kommunikation sowie auf Artefakte, die auch bei nachgeladenen Modulen konstant bleiben können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Venom Spider (TAG-195) bringt vier neue Malware-Familien und modulare Plug-ins für MaaS" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Venom Spider (TAG-195) bringt vier neue Malware-Familien und modulare Plug-ins für MaaS" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Venom Spider (TAG-195) bringt vier neue Malware-Familien und modulare Plug-ins für MaaS« bei Google Deutschland suchen, bei Bing oder Google News!