Insikt Group Recorded Future mengidentifikasi empat keluarga malware baru dalam ekosistem TAG-195 Golden Chickens, menandai transisi arsitektural menuju tooling modular yang dikendalikan operator dengan kemampuan browser credential theft, session automation, dan lateral movement.
APA YANG TERJADI?
TAG-195, juga dikenal sebagai Golden Chickens atau Venom Spider, adalah pengembang malware-as-a-service (MaaS) dengan motivasi finansial yang telah menyediakan tooling credential theft dan remote access kepada operator kriminal. Insikt Group mengidentifikasi empat keluarga baru: TinyEgg sebagai backdoor akses awal yang ringan, ChonkyChicken sebagai implant penuh dengan kemampuan credential theft dan surveillance, varian modular dari ChonkyChicken yang menggunakan arsitektur controller-and-plugin, serta ChromEggscalator sebagai tool bypass Chrome App-Bound Encryption. Semua keluarga berbagi karakteristik arsitektural: filename execution gating, persistensi Run key dengan nama value yang konsisten, string obfuscation, dan eksekusi melalui binary Windows legitim seperti regsvr32.exe. TAG-127, seorang operator yang menggunakan TAG-195 MaaS, telah diamati mendistribusikan TinyEgg melalui kampanye ClickFix.
DETAIL TEKNIS
TinyEgg adalah implant first-stage berupa file OCX yang dieksekusi via regsvr32.exe dengan gating berbasis filename. Ia berkomunikasi melalui WebSocket menggunakan protokol JSON task-driven, menyediakan shell interaktif dan manajemen persistensi melalui Run key WinComCtl. ChonkyChicken adalah implant second-stage yang memperluas kemampuan dengan browser credential theft melalui ChromEggscalator, session automation menggunakan Chrome DevTools Protocol (CDP) dengan remote debugging pada port 127.0.0.1:9222, keylogging, audio capture, screen capture, clipboard monitoring, dan lateral movement melalui cred_exec, token_run, serta remote scheduled tasks. Modular ChonkyChicken memisahkan kemampuan operasional ke dalam controller dasar yang memuat modul on-demand dari C2 melalui LoadLibraryA, dengan setidaknya 14 modul yang telah diidentifikasi meliputi procmgr, screen, files, shell, network, domain, clipboard, keylog, audio, proxy, chrome, dan persist. ChromEggscalator adalah modifikasi dari tool open-source ChromElevator yang diubah menjadi OCX dengan filename gating dan output model yang didesain untuk koleksi programmatic oleh ChonkyChicken. Semua komunikasi WebSocket memanfaatkan XOR masking per RFC 6455, membuat content-based network signatures tidak efektif tanpa frame decoding terlebih dahulu.
DAMPAK TERHADAP INDONESIA
Ekosistem MaaS semacam TAG-195 merupakan ancaman signifikan bagi perusahaan Indonesia karena tooling yang canggih dapat diakses oleh operator dengan skill teknis minimal melalui model komersial. Kampanye ClickFix yang menggunakan social engineering untuk meminta korban menyalin dan menempel perintah berbahaya ke dialog Run sangat efektif di lingkungan di mana kesadaran pengguna akhir masih berkembang. Kemampuan ChonkyChicken untuk melakukan browser credential theft dan CDP automation berarti bahwa serangan tidak berhenti pada pencurian password, melainkan dapat berlanjut ke session hijacking real-time yang bertahan bahkan setelah password diubah. Ini adalah ancaman yang belum sepenuhnya dipahami oleh banyak tim security awareness di Indonesia. Selain itu, modular architecture membuat deteksi signature-based semakin tidak efektif karena base implant hanya berisi orchestration layer tanpa kemampuan operasional built-in.
REKOMENDASI MITIGASI
Defender harus memblokir atau membatasi eksekusi regsvr32.exe saat memuat file .dll atau .ocx dari direktori yang dapat ditulis pengguna seperti %TEMP%, %APPDATA%, dan Downloads. Pantau pembuatan Run key value WinComCtl yang mereferensikan file OCX di lokasi yang dapat ditulis pengguna. Blokir atau alert pada proses Chrome dan Edge yang diluncurkan dengan –remote-debugging-port, terutama dengan window positioning off-screen. Enforce FIDO2 atau phishing-resistant MFA untuk aplikasi bernilai tinggi. Pantau event Microsoft Entra ID untuk registrasi perangkat baru yang tidak biasa. Deploy WDAC, AppLocker, atau EDR prevention rules untuk membatasi eksekusi script dan COM registration dari workflow web-delivered. Recorded Future menyediakan Sigma rules dan YARA rules untuk deteksi TAG-195 malware, termasuk pembuatan file lg.txt di %TEMP% sebagai indikator ChonkyChicken dan eksekusi chromelevator.ocx.
Analisa Retasan
Transisi TAG-195 menuju arsitektur modular adalah tonggak penting dalam evolusi ekosistem MaaS. Modular ChonkyChicken dengan controller-and-plugin design merealisasikan konsep yang sebelumnya hanya tersirat pada generasi TerraLogger: kemampuan untuk men-deploy hanya fungsionalitas yang dibutuhkan untuk setiap intrusion, mengurangi exposure statis, dan memungkinkan kompartementalisasi aktivitas operator. Ini memiliki implikasi defensif yang serius: jika defender menangkap hanya controller implant, mereka tidak memperoleh visibilitas terhadap kemampuan operasional yang tersedia bagi operator. Base controller tidak mengandung modul reconnaissance, credential theft, atau lateral movement pada saat diamati di disk; semua diambil on-demand dari C2. Ini mengubah model deteksi dari static artifact hunting menjadi behavioral monitoring yang harus fokus pada aktivitas loader, registrasi WebSocket, dan pola persistensi Run key.
Dari perspektif teknis, penggunaan Chrome DevTools Protocol untuk session automation adalah kemampuan yang jauh lebih berbahaya daripada credential theft statis. Dengan CDP, operator dapat berinteraksi secara real-time dengan session browser yang telah diautentikasi, mengakses konten on-screen, dan melakukan tindakan sebagai pengguna yang sah. Mengganti password setelah insiden tidak mengakhiri kompromi jika sesi CDP masih aktif. Ini adalah titik buta yang serius bagi banyak tim incident response yang berfokus pada credential rotation sebagai langkah remediasi utama. Selain itu, penggunaan WebSocket dengan RFC 6455 frame masking membuat inspeksi content-based oleh IDS/IPS menjadi tidak efektif tanpa implementasi decoder WebSocket, yang masih jarang ditemukan pada perangkat network security konvensional.
Bagi Indonesia, di mana infrastruktur EDR dan NDR masih dalam tahap adopsi dan banyak organisasi mengandalkan antivirus signature-based, ekosistem TAG-195 merupakan ancaman yang sangat tidak proporsional terhadap kemampuan defensif yang ada. Tooling yang sama canggihnya dengan yang digunakan oleh APT state-sponsored kini tersedia untuk aktor kriminal finansial melalui model sewa. Ini menunjukkan democratization of advanced cyber capabilities yang memperlakukan keamanan siber sebagai commodity. Organisasi Indonesia harus segera meningkatkan defensive posture mereka menuju behavioral detection, zero-trust architecture, dan phishing-resistant MFA, atau akan menghadapi wave of compromise yang semakin sulit dideteksi dan diatasi.
Sumber: Recorded Future
