Laut Recorded Future markieren die vier neuen Familien einen architektonischen Umbau im MaaS-Ökosystem von TAG-195. Alle vier Varianten teilten zentrale Merkmale: einheitliche Mechanismen zur Kommunikation mit der Kommando-und-Kontroll-Infrastruktur, einen gemeinsamen Ansatz zur Persistenz, Zeichenketten-Verschleierung sowie die Ausführung über dasselbe Zustellungsmodell.
Die Entwicklung deutet nach Einschätzung des Unternehmens darauf hin, dass Golden Chickens, auch als Venom Spider bekannt, sein Arsenal aktiv weiter verfeinert. Gleichzeitig bewege sich die Gruppe bewusst in Richtung modularer, von den Angreifern gesteuerter Werkzeuge, um die Erkennung zu erschweren. Den Werkzeugkasten von Golden Chickens brachten laut Quelltext bereits andere Cybercrime-Gruppen wie Cobalt Group, auch Cobalt Gang genannt, Evilnum und FIN6 zum Einsatz. Mit Golden Chickens ist zudem die Malware-Familie More_eggs verbunden.
Als weiterer Akteur im Umfeld des MaaS-Angebots gilt TAG-127. Diese Gruppe nutzt laut Recorded Future ClickFix oder VenomLNK als Verteilweg. In beobachteten Angriffsketten kamen ClickFix-Köder zum Einsatz, um OCX-Nutzlasten aus einer von den Angreifern kontrollierten Staging-Infrastruktur auszuführen. Das führte zur Installation von TinyEgg.
TinyEgg ist auf den Erstzugang und Profiling-Funktionen beschränkt. Sämtliche Fähigkeiten nach der ersten Kompromittierung werden demnach an ChonkyChicken übergeben. Zudem ist TinyEgg so ausgelegt, dass es die Ausführung beendet, wenn Sandboxen oder automatisierte Analyseumgebungen erkannt werden.
Die Schadsoftware baut Verbindungen zu einem C2-Server über WebSockets auf. Darüber stellt sie eine interaktive Befehlszeile bereit, führt von den Operatoren gelieferte Eingaben in der aktiven Shell-Sitzung aus, sendet die Ausgabe an den Steuerungsserver zurück und stellt OCX-Nutzlasten bereit.
Die modulare Variante von ChonkyChicken unterstützt hingegen 14 unterschiedliche Komponenten, die bei Bedarf aus der C2-Infrastruktur nachgeladen werden. Nach Einschätzung von Recorded Future können die Betreiber dadurch gezielt einzelne Funktionen laufend bereitstellen, was monolithische Malware-Architekturen ohne Aktualisierungsmechanismus nicht ohne Weiteres leisten können. Zusätzlich unterstützt die modulare Variante ein Modul mit dem Namen „wtrack“, dessen Zweck bislang unbekannt ist. Das deute auf eine aktive Fähigkeit hin, die sich noch in Entwicklung befinde.
Recorded Future bewertet den Wechsel zur modularen Architektur als wahrscheinlich vorteilhaft für TAG-195. Nach Einschätzung des Unternehmens reduziert dieser Ansatz fast sicher die statische Erkennungsfläche des Basis-Implantats. Zugleich passe er zu den kommerziellen Anreizen des MaaS-Modells, etwa Fähigkeiten selektiv an Betreiber bereitzustellen, die Sichtbarkeit bei einer Kompromittierung eines Kunden zu begrenzen und ein breiteres Spektrum operativer Anforderungen zu bedienen.