สรุปสั้น
กลุ่มผู้ก่อภัยคุกคามที่อยู่เบื้องหลังระบบนิเวศมัลแวร์ให้เช่าแบบบริการ (Malware-as-a-Service — MaaS) ในชื่อ Golden Chickens ได้กลับมาปรากฏตัวอีกครั้งพร้อมมัลแวร์ตระกูลใหม่ถึง 4 ตัว สะท้อนว่าผู้ปฏิบัติการยังไม่มีทีท่าจะหยุด แม้จะถูกเปิดโปงกลไกภายในต่อสาธารณะไปมากแล้วก็ตาม มัลแวร์ตระกูลใหม่ทั้ง 4 ได้แก่ TinyEgg, ChonkyChicken, ChonkyChicken รุ่นที่ถูกปรับให้เป็นโมดูลาร์ และเครื่องมือขโมยรหัสผ่านจากเว็บเบราว์เซอร์ที่ถูกดัดแปลงชื่อ ChromEggscalator โดยทีม Insikt Group ของบริษัท Recorded Future ติดตามกลุ่มนี้ในชื่อรหัส TAG-195
TAG-195 เป็นผู้พัฒนา MaaS ที่มีแรงจูงใจทางการเงิน (financially motivated) โดยเครื่องมือของกลุ่มเคยถูกโยงเข้ากับกลุ่ม TAG-127 ในฐานะทั้งผู้ปฏิบัติการและลูกค้า บริษัท Recorded Future ระบุว่ายังพบ TAG-127 ปล่อยมัลแวร์ TinyEgg ผ่านแคมเปญวิศวกรรมสังคมแบบ ClickFix ที่หลอกให้ผู้ใช้รันคำสั่งอันตรายด้วยตนเอง นักวิจัยชี้ว่ามัลแวร์ทั้ง 4 ตระกูลใหม่บ่งบอกถึงการเปลี่ยนผ่านและวิวัฒนาการเชิงสถาปัตยกรรมของระบบนิเวศ MaaS ของ TAG-195 โดยทั้งหมดมีลักษณะร่วมกันคือกลไกสั่งการและควบคุม (C2) ที่สอดคล้องกัน วิธีการฝังตัวแบบเดียวกัน การซ่อนสตริง และการรันผ่านโมเดลการส่งมัลแวร์เดียวกัน ความเคลื่อนไหวนี้เป็นสัญญาณว่า Golden Chickens หรือที่รู้จักในอีกชื่อว่า Venom Spider กำลังขัดเกลาคลังอาวุธของตนผ่านการพัฒนาอย่างต่อเนื่อง พร้อมจงใจย้ายไปใช้เครื่องมือแบบโมดูลาร์ที่ผู้ปฏิบัติการควบคุมได้ เพื่อหลบการตรวจจับ
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กรกฎาคม 2569 อ้างการวิเคราะห์ของทีม Insikt Group แห่งบริษัท Recorded Future ว่า Golden Chickens ซึ่งเชื่อมโยงกับมัลแวร์ตระกูล More_eggs ที่โด่งดัง เคยถูกกลุ่มอาชญากรไซเบอร์อื่นนำไปใช้ ไม่ว่าจะเป็น Cobalt Group (หรือ Cobalt Gang), Evilnum และ FIN6 ขณะที่อีกกลุ่มที่โยงกับระบบ MaaS นี้คือ TAG-127 ซึ่งใช้ ClickFix หรือ VenomLNK เป็นช่องทางส่งมัลแวร์
เมื่ออธิบายเครื่องมือใหม่แต่ละตัวโดยสังเขป TinyEgg คือแบ็กดอร์สำหรับการเข้าถึงขั้นต้น (initial-access backdoor) แบบเบา ทำหน้าที่เก็บโปรไฟล์เครื่องเหยื่อ เปิดเชลล์แบบโต้ตอบ และจัดการการฝังตัว ส่วน ChonkyChicken เป็น implant เต็มรูปแบบที่ต่อยอดจาก TinyEgg โดยเพิ่มความสามารถขโมยรหัสจากเบราว์เซอร์ ควบคุมเซสชันเบราว์เซอร์แบบสดผ่าน Chrome DevTools Protocol (CDP) การรันคำสั่งจากระยะไกลด้วยข้อมูลรับรอง การสำรวจเครือข่าย และการเฝ้าติดตามอย่างต่อเนื่อง ถัดมาคือ ChonkyChicken รุ่นโมดูลาร์ ที่นำเสนอสถาปัตยกรรมแบบตัวควบคุมและปลั๊กอิน (controller-and-plugin) ซึ่งช่วยให้ตัวควบคุมสามารถร้องขอและโหลดโมดูลความสามารถ 14 ตัวได้ตามต้องการ แทนที่จะฝังฟังก์ชันทั้งหมดไว้ใน implant และตัวสุดท้าย ChromEggscalator ซึ่งเป็นทายาทของ TerraStealerV2 และเป็นเวอร์ชันดัดแปลงของเครื่องมือเลี่ยงการเข้ารหัสของ Chrome ที่เผยแพร่สาธารณะชื่อ ChromElevator
วิธีการโจมตี
ห่วงโซ่การโจมตีถูกพบว่าใช้เหยื่อล่อแบบ ClickFix เพื่อรันเพย์โหลด OCX ที่ดาวน์โหลดจากโครงสร้างพื้นฐานที่ผู้โจมตีควบคุม นำไปสู่การติดตั้ง TinyEgg ซึ่งมีความสามารถจำกัดอยู่ที่การเข้าถึงขั้นต้นและการเก็บโปรไฟล์เท่านั้น ส่วนความสามารถหลังการเจาะระบบทั้งหมดจะถูกส่งต่อไปให้ ChonkyChicken จัดการ นอกจากนี้ TinyEgg ยังถูกออกแบบให้หยุดทำงานทันทีหากตรวจพบว่าอยู่ในสภาพแวดล้อมแซนด์บ็อกซ์หรือระบบวิเคราะห์อัตโนมัติ โดยมัลแวร์จะสร้างการเชื่อมต่อกับเซิร์ฟเวอร์ C2 ผ่าน WebSockets เพื่อเปิดเชลล์คำสั่งแบบโต้ตอบ รับอินพุตจากผู้ปฏิบัติการมารันในเซสชันเชลล์ที่กำลังทำงาน ส่งผลลัพธ์กลับไปยังตัวควบคุม และจัดเตรียมเพย์โหลด OCX
สำหรับ ChonkyChicken รุ่นโมดูลาร์นั้นรองรับส่วนประกอบที่แตกต่างกัน 14 ตัวที่ถูกดึงจากโครงสร้างพื้นฐาน C2 มาตามต้องการ เปิดทางให้ผู้ปฏิบัติการเลือกส่งฟังก์ชันบางอย่างแบบทันทีทันใด ซึ่งเป็นสิ่งที่สถาปัตยกรรมมัลแวร์แบบก้อนเดียว (monolithic) ทำได้ยากหากไม่มีกลไกอัปเดต โมดูลทั้ง 14 ครอบคลุมฟังก์ชัน ได้แก่ การจัดการโปรเซส การจับภาพหน้าจอและการแจกแจงจอภาพ การจัดการไฟล์ การรันคำสั่ง การสำรวจเครือข่าย การสำรวจตามโดเมน การจับข้อมูลคลิปบอร์ด การดักแป้นพิมพ์ (keylogging) การบันทึกเสียง การตรวจเวลาว่าง (idle time) การส่งคำขอ HTTP/S ผ่านโฮสต์ การขโมยข้อมูลเบราว์เซอร์ผ่าน ChromEggscalator และการจัดการการฝังตัว ที่น่าสนใจคือรุ่นโมดูลาร์ยังมีโมดูลชื่อ “wtrack” ซึ่งยังไม่ทราบวัตถุประสงค์ บ่งชี้ว่าเป็นความสามารถที่กำลังอยู่ในระหว่างการพัฒนา บริษัท Recorded Future ระบุว่าการที่ TAG-195 เปลี่ยนไปใช้สถาปัตยกรรมโมดูลาร์นั้น เกือบจะแน่นอนว่าช่วยลดร่องรอยการถูกตรวจจับแบบ static ของ implant ฐาน และน่าจะสะท้อนแรงจูงใจเชิงพาณิชย์ในโมเดล MaaS ทั้งความสามารถในการจัดสรรฟีเจอร์ให้ผู้ปฏิบัติการแบบเลือกได้ จำกัดความเสียหายหากลูกค้ารายใดถูกจับได้ และรองรับความต้องการปฏิบัติการที่หลากหลายขึ้น
ผลกระทบต่อไทย
Golden Chickens เป็นระบบ MaaS ที่ถูกกลุ่มอาชญากรไซเบอร์หลายกลุ่มเช่าไปใช้โจมตีองค์กรทั่วโลก โดยเฉพาะภาคการเงิน อีคอมเมิร์ซ และองค์กรที่มีมูลค่าสูง ผ่านการหลอกล่อพนักงานด้วยเทคนิควิศวกรรมสังคมอย่าง ClickFix ที่หลอกให้เหยื่อรันคำสั่งด้วยตัวเอง ซึ่งเป็นเทคนิคที่พบแพร่หลายและใช้ได้กับผู้ใช้ทุกภาษารวมถึงในไทย จุดที่ต้องระวังเป็นพิเศษคือความสามารถขโมยรหัสผ่านและควบคุมเซสชันเบราว์เซอร์แบบสดผ่าน CDP ซึ่งอาจนำไปสู่การยึดบัญชีองค์กร บัญชีคลาวด์ หรือระบบภายในได้ อีกทั้งการที่มัลแวร์เปลี่ยนเป็นสถาปัตยกรรมโมดูลาร์ที่ดึงฟังก์ชันตามสั่ง ทำให้ตรวจจับด้วยลายเซ็นแบบเดิมยากขึ้น และ TinyEgg ยังหยุดทำงานเมื่อเจอแซนด์บ็อกซ์ ทำให้การวิเคราะห์อัตโนมัติทำได้ยาก องค์กรไทยจึงควรยกระดับการป้องกันทั้งด้านการรับรู้ภัยของพนักงานและการตรวจจับพฤติกรรมผิดปกติบนเครื่อง
คำแนะนำ
องค์กรควรอบรมพนักงานให้ระวังเทคนิค ClickFix ที่หลอกให้คัดลอกและรันคำสั่งลงในกล่อง Run หรือ PowerShell ด้วยตนเอง เพราะเป็นจุดเริ่มต้นของการติดตั้ง TinyEgg ควรจำกัดสิทธิ์ผู้ใช้ทั่วไปไม่ให้รันสคริปต์หรือไฟล์ OCX ที่ไม่รู้จัก เปิดใช้การตรวจจับเชิงพฤติกรรม (behavior-based / EDR) แทนการพึ่งลายเซ็นเพียงอย่างเดียว เพราะมัลแวร์ชุดนี้ออกแบบมาหลบการตรวจแบบ static และดึงโมดูลตามสั่ง ควรเฝ้าระวังการเชื่อมต่อ WebSockets ที่ผิดปกติออกไปยังปลายทางแปลกๆ และพฤติกรรมการควบคุมเบราว์เซอร์ผ่าน Chrome DevTools Protocol (เช่น การเปิดเบราว์เซอร์ด้วย remote-debugging) นอกจากนี้ควรบังคับใช้การยืนยันตัวตนหลายปัจจัย (MFA) กับบัญชีสำคัญทั้งหมด เพื่อลดผลกระทบหากรหัสผ่านในเบราว์เซอร์ถูกขโมย และหมั่นตรวจสอบบัญชีคลาวด์กับระบบภายในเพื่อหาการเข้าถึงที่ผิดปกติ