UKRAINE / LONDON (IT BOLTWISE) – Die Hackergruppe Golden Chickens bringt mit vier neuen Schadsoftware-Familien eine deutlich modularere Toolchain zurück. Im Fokus stehen Browser-Sitzungen und gespeicherte Zugangsdaten, die über Protokolle wie das Chrome DevTools Protocol (CDP) ausgelesen werden. Zusätzlich wird der Zugriff mit Social-Engineering-Kampagnen vorbereitet, die Nutzer als „Browserproblem“ zum Ausführen von Code bringen. Für Sicherheitsverantwortliche wird damit klar: Signaturen allein reichen nicht mehr, wenn Angriffe als legitime Browseraktivität getarnt sind.
Golden Chickens macht in dieser Runde nicht nur „mehr Malware“, sondern vor allem ein anderes Bauprinzip sichtbar: Die Angreifer setzen auf einen modularen Werkzeugkasten, der einzelne Funktionen je nach Ziel kombinieren soll. Sicherheitsforscher verorten die Gruppe auch unter den Namen TAG-195 und Venom Spider und beschreiben eine Modernisierung, die weniger nach einer klassischen „All-in-one“-Infektion aussieht, sondern eher nach einer adaptiven Komposition. Für Unternehmen ist das die zentrale Botschaft, denn Modularität senkt in der Praxis die Effektivität statischer Erkennungsmuster und erschwert die schnelle Zuordnung zu bekannten Kampagnen. Gleichzeitig steigt der Druck auf Monitoring-Strategien, die Verhaltensmuster und Prozessketten statt nur Dateisignaturen betrachten.
Technisch konkret werden vier neue Malware-Familien in den Vordergrund gestellt, die unterschiedliche Rollen im Angriffsketten-Design übernehmen. TinyEgg soll als schlanke Hintertür den ersten Zugriff ermöglichen, während ChonkyChicken den „Datenabgriff“-Teil abdeckt und Browser-Zugangsdaten sowie laufende Sitzungen adressiert. Besonders relevant für Blue-Teams ist dabei der Weg über das Chrome DevTools Protocol (CDP): Wer CDP im Kontext einer kompromittierten Browserumgebung steuert, kann auf Aktionen und Zustände zugreifen, die für Nutzer nach normaler Browsernutzung aussehen. Eine weitere Variante namens Modular ChonkyChicken wird als besonders granular beschrieben, weil sie aus 14 Modulen bestehen kann, die die Infektion exakt an das Zielprofil anpassen sollen. ChromEggscalator schließlich zielt darauf, die Chrome-Verschlüsselung zu umgehen, um gespeicherte Passwörter abzurufen.
Die Einfallsschleuse wird parallel über Social Engineering vorbereitet. Ein weiterer Akteur namens TAG-127 setzt TinyEgg bereits über ClickFix-Kampagnen ein, wie aus der Analyse hervorgeht: Nutzer sollen dabei über vermeintliche Browserprobleme getäuscht werden, etwa mit dem Narrativ, eine dringende Korrektur sei erforderlich. Genau an dieser Stelle wird es für Security-Organisationen unbequem, weil „das Opfer hat ja nur einen Hinweis bestätigt“ in vielen Incident-Reviews zu kurz greift. In der Realität ist die Kette oft konsistent: Täuschung liefert den Startpunkt, der modulare Baukasten erledigt den Rest. Wer nur nach Exploit-Signaturen sucht, übersieht zudem den Moment, in dem der Schadcode zunächst als „Browseraktion“ tarnt und erst danach zusätzliche Fähigkeiten nachlädt oder aktiviert.
Dass Browser-Tarnung funktionieren kann, zeigen weitere gemeldete Vorfälle aus anderen Kampagnenfeldern. Ein rust-basierter Trojaner namens msaRAT wird im Zusammenhang mit einer Rust-basierten Entwicklung beschrieben und soll ebenfalls über das Chrome DevTools Protocol sowie WebRTC in Kombination mit Twilio genutzt werden. Der beschriebene Effekt: Die Schadsoftware läuft in unsichtbaren Chrome- oder Edge-Fenstern, tarnt den Datenverkehr als legitime Browseraktivität und umgeht so klassische Netzwerkerkennung. Damit rückt die Frage in den Vordergrund, wie Unternehmen CDP-ähnliche Zugriffsmuster sowie untypische WebRTC-Flüsse in Bezug auf echte Nutzeraktionen voneinander unterscheiden. Parallel dazu wird eine weitere Gruppe namens JadeProx mit einem Analysefehler identifiziert: Ein offener Alibaba-Cloud-Server habe Mitte April als „Panne“ gedient, sodass sich der TriBack-Lader samt Mechanismen wie signierten Programmen und Win32-Callback-Funktionen analysieren ließ.
Auch die Zielbreite unterstreicht, dass Angriffe nicht nur punktuell auf einen Sektor abzielen. In der Berichterstattung werden unter anderem ein vietnamesisches Krankenhaus, das malaysische Außenministerium sowie der Nationalkongress von Honduras als betroffen genannt. Was daran aus Sicht der Sicherheitsarchitektur relevant ist: Solche Umfelder verfügen häufig über heterogene Endgeräte, unterschiedlich gepflegte Browserstände und teils organisatorisch gewachsene Schutzschichten. Wenn eine Angreifergruppe dann modular vorgeht, lässt sich der Aufwand für Anpassungen reduzieren, während die Wahrscheinlichkeit steigt, dass zumindest ein Baustein in der Umgebung zündet. Für die Verteidigung heißt das, dass „hart“ konfigurierte Baselines (Browser-Härtung, Least-Privilege, restriktive Prozesse) stärker zählen als einzelne Tool-Alarmregeln.
In Osteuropa kommt zusätzlich ein CERT-UA-bezogener Hinweis hinzu: Die Russland-nahe Gruppe UAC-0099 greife ukrainische Organisationen mit einem präparierten Notepad++-Plugin an. Das getarnte NppExport.dll-Element installiert dabei Malware-Familien wie LUNCHPOKE, BURNYBEAR und MATCHBOIL.V2.Proofpoint berichtet außerdem von einer TA488-Kampagne, die eine Sicherheitslücke in der Zimbra Collaboration Suite ausnutzen soll (CVE-2025-66376). Besonders bemerkenswert ist die zeitliche Einordnung: Von Juli 2025 bis zu einem späteren Patch seien Regierungs- und Nuklearsektor in den USA und der Ukraine betroffen gewesen. Unabhängig von der konkreten Schwachstelle zeigt die Summe der Fälle dasselbe Muster: Patchmanagement ist nötig, aber nicht hinreichend, wenn parallel Social-Engineering-Pfade und Browser-interne Abgriffe bereits in der Toolchain angelegt sind.
Für Security-Entscheider entsteht daraus eine klare Priorisierung. Erstens sollten Schutzkontrollen nicht nur auf Dateien, sondern auf Verhaltenssignaturen setzen: Prozessketten, untypische CDP-Nutzung, Browserfenster ohne Nutzerkontext und ungewöhnliche Kommunikationsmuster wie WebRTC-Transfers gehören in die Prüfmatrix. Zweitens braucht es eine klare Architekturlogik für Incident Response, damit sich modular aufgebaute Angriffe schneller „zerlegen“ lassen, statt sie als einzelne, isolierte Malware-Datei zu behandeln. Drittens sollte der Mensch als Eintrittspunkt stärker abgesichert werden: Trainings allein helfen wenig, wenn Clickfix-Mechaniken mit realistischen Browserproblemen operieren; effektiver sind technische Limits (z. B. reduzierte Ausführungsrechte, Hardening der Browserumgebung) plus schnelle Freigabe- und Sperrprozesse. Die Rückkehr von Golden Chickens ist damit weniger ein Alarmzeichen für den nächsten Einzelfall, sondern ein Hinweis auf die Richtung, in die moderne Angriffsteams ihre Infrastruktur weiterentwickeln.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Golden Chickens: Vier neue Malware-Familien zielen auf Browserdaten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Golden Chickens: Vier neue Malware-Familien zielen auf Browserdaten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Golden Chickens: Vier neue Malware-Familien zielen auf Browserdaten« bei Google Deutschland suchen, bei Bing oder Google News!