تعود جولدن تشيكنز إلى الواجهة عبر 4 عائلات جديدة من البرمجيات الخبيثة، في تصعيد يبرز تطور أدواتها وقدرتها على التهرب من الرصد.
ما هي عائلات جولدن تشيكنز الجديدة؟
كشفت المتابعة الأمنية عن عودة مجموعة جولدن تشيكنز مع أربع سلالات خبيثة جديدة، ما يعكس استمرار نشاط هذا النظام الإجرامي القائم على نموذج البرمجيات الخبيثة كخدمة.
اللافت أن التحديث الجديد لا يقتصر على إضافة أدوات منفصلة فقط، بل يشير إلى انتقال واضح نحو بنية أكثر مرونة تعتمد على وحدات قابلة للتحميل عند الحاجة. ووفقاً لتقرير تيكبامين، فهذا التطور يمنح المشغلين قدرة أكبر على تخصيص الهجمات وتقليل البصمة البرمجية.
- TinyEgg: أداة للوصول الأولي وجمع معلومات أولية عن الجهاز المستهدف.
- ChonkyChicken: حمولة خبيثة تنفذ المهام اللاحقة بعد الاختراق.
- نسخة Modular من ChonkyChicken: تعتمد على مكونات قابلة للتنزيل حسب المهمة.
- ChromEggscalator: أداة معدلة لسرقة بيانات اعتماد متصفحات الويب.
كيف تعمل الهجمات الجديدة عملياً؟
تعتمد بعض سلاسل الهجوم على أسلوب خداعي يدفع الضحية إلى تنفيذ أوامر ضارة يدوياً، وهو أسلوب بات شائعاً في حملات الهندسة الاجتماعية الحديثة. بعد ذلك يتم تنزيل ملفات خبيثة من بنية تحتية يسيطر عليها المهاجمون لبدء مرحلة الاختراق.
يبدو أن TinyEgg مخصص للمرحلة الأولى فقط، إذ يركز على فتح موطئ قدم داخل النظام المستهدف، ثم يمرر المهام الأكثر تعقيداً إلى ChonkyChicken. هذه الآلية تقلل التعقيد في البداية وتزيد فرص نجاح الاختراق دون إثارة الشبهات سريعاً.
أبرز القدرات التقنية
- الاتصال بخادم القيادة والتحكم عبر WebSockets.
- توفير سطر أوامر تفاعلي للمهاجم داخل الجهاز المصاب.
- تشغيل أوامر يرسلها المشغل وجمع النتائج وإعادتها للخادم.
- تنزيل حمولات إضافية بصيغة OCX عند الحاجة.
- إيقاف التنفيذ تلقائياً عند اكتشاف بيئات تحليل أو Sandboxes.
لماذا تمثل النسخة المعيارية خطراً أكبر؟
النسخة المعيارية من ChonkyChicken تُعد خطوة أخطر من الإصدارات التقليدية، لأنها لا تحمل كل الوظائف دفعة واحدة. بدلاً من ذلك، يمكنها تنزيل المكونات المطلوبة فقط، ما يجعل الكشف عنها أصعب ويمنح المهاجمين مرونة تشغيلية أكبر.
تشير المعلومات المتاحة إلى أن هذه النسخة تدعم 14 مكوناً مختلفاً يمكن استدعاؤها من خادم القيادة والتحكم وفق هدف العملية. هذا النوع من التصميم يسمح بتخصيص الهجوم بين سرقة البيانات، تنفيذ الأوامر، أو توسيع الانتشار داخل الشبكة.
ما الذي تعنيه عودة جولدن تشيكنز للمستخدمين والشركات؟
عودة جولدن تشيكنز بهذا الشكل تعني أن مشهد التهديدات لا يزال يتطور بسرعة، خصوصاً مع توجه المهاجمين إلى أدوات أكثر خفة وتنظيماً. كما أن الاعتماد على وحدات منفصلة يجعل عمليات الرصد التقليدية أقل فاعلية إذا لم تكن مدعومة بمراقبة سلوكية مستمرة.
بالنسبة للشركات، يصبح من الضروري تشديد سياسات تنفيذ الأوامر، ومراقبة اتصالات WebSockets غير المعتادة، ومنع تنزيل الملفات المشبوهة من مصادر غير موثوقة. ويؤكد تيكبامين أن الوعي بأساليب الهندسة الاجتماعية بات عاملاً حاسماً، لأن كثيراً من هذه الهجمات يبدأ بخطأ بشري بسيط قبل أن تتوسع أدوات جولدن تشيكنز داخل النظام.
