{"id":1755,"date":"2026-07-24T20:49:42","date_gmt":"2026-07-24T20:49:42","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/24\/golden-chickens-resurge-con-cuatro-nuevas-familias-de-malware-e-implantes-modulares-cyberdefensa-mx\/"},"modified":"2026-07-24T20:49:42","modified_gmt":"2026-07-24T20:49:42","slug":"golden-chickens-resurge-con-cuatro-nuevas-familias-de-malware-e-implantes-modulares-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/24\/golden-chickens-resurge-con-cuatro-nuevas-familias-de-malware-e-implantes-modulares-cyberdefensa-mx\/","title":{"rendered":"Golden Chickens resurge con cuatro nuevas familias de malware e implantes modulares \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los actores de amenazas detr\u00e1s del ecosistema de malware como servicio (MaaS) de Golden Chickens han <a href=\"https:\/\/www.recordedfuture.com\/research\/tag-195-evolves-maas-ecosystem\" target=\"_blank\">resurgido<\/a> con cuatro nuevas familias de malware, lo que indica que los operadores no dan se\u00f1ales de detenerse a pesar de las amplias revelaciones p\u00fablicas sobre su funcionamiento interno.<\/p>\n<p>Las familias de malware en cuesti\u00f3n son: TinyEgg, ChonkyChicken, una variante modularizada de ChonkyChicken y una utilidad de robo de credenciales de navegador web modificada con nombre en c\u00f3digo ChromEggscalator. Insikt Group de Recorded Future est\u00e1 rastreando al grupo bajo el nombre de TAG-195.<\/p>\n<p>TAG-195 es un desarrollador de malware como servicio (MaaS) con motivaci\u00f3n financiera cuyas herramientas se han vinculado previamente a TAG-127 como operador y cliente. La compa\u00f1\u00eda de inteligencia de amenazas dijo que tambi\u00e9n observ\u00f3 a TAG-127 implementando TinyEgg a trav\u00e9s de <a href=\"https:\/\/www.recordedfuture.com\/research\/clickfix-campaigns-targeting-windows-and-macos\" target=\"_blank\">Campa\u00f1as de ingenier\u00eda social estilo ClickFix<\/a> que enga\u00f1an a los usuarios desprevenidos para que ejecuten manualmente comandos maliciosos.<\/p>\n<p>\u00abLas cuatro nuevas familias indican una transici\u00f3n arquitect\u00f3nica y una evoluci\u00f3n en el ecosistema TAG-195 MaaS\u00bb, dijo Recorded Future. \u00abLas cuatro familias comparten un conjunto com\u00fan de rasgos arquitect\u00f3nicos: mecanismos consistentes de comando y control, un enfoque de persistencia compartido, ofuscaci\u00f3n de cadenas y ejecuci\u00f3n a trav\u00e9s del mismo modelo de entrega\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-vuln-protection-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjQl2axNwsfhbXOFynrg_uAZsvHi3OvNGSA8KJO-BKR8Xm3x7yjKV3EvfY4v5mwXx6LF0uWFb9h9d9iAV_Pi-YYhqimX9wx4OaLdDJEdR215Xrxq_PAtXkaLfQso4pTSjbj6fvh_ZTliLpzWZSZfcoZgyXtKwhN-SSDDlmbtUqGLshc0KqYQGWYHMN52Sl1\/s728-e100\/zz-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Una breve descripci\u00f3n de cada una de las herramientas es la siguiente:<\/p>\n<ul>\n<li>TinyEgg, una puerta trasera ligera de acceso inicial que proporciona perfiles de host, acceso interactivo al shell y gesti\u00f3n de persistencia<\/li>\n<li>ChonkyChicken, un implante con todas las funciones que ampl\u00eda TinyEgg con robo de credenciales del navegador, control de sesi\u00f3n en vivo del navegador mediante el protocolo Chrome DevTools (CDP), ejecuci\u00f3n remota respaldada por credenciales, reconocimiento de red y vigilancia sostenida.<\/li>\n<li>Una versi\u00f3n modularizada de ChonkyChicken que introduce una arquitectura de controlador y complemento que permite al controlador solicitar y cargar 14 m\u00f3dulos de capacidad discretos seg\u00fan demanda en lugar de incorporar toda la funcionalidad en el implante.<\/li>\n<li>ChromEggscalator, un sucesor de <a href=\"https:\/\/thehackernews.com\/2025\/05\/golden-chickens-deploy-terrastealerv2.html\" target=\"_blank\">TerraStealerV2 y una versi\u00f3n modificada de una herramienta de omisi\u00f3n de cifrado de Chrome disponible p\u00fablicamente llamada ChromElevator<\/a><\/li>\n<\/ul>\n<p>El cambio es una se\u00f1al de que Golden Chickens, tambi\u00e9n llamado Venom Spider, est\u00e1 refinando activamente su arsenal a trav\u00e9s del desarrollo activo, mientras deliberadamente pasa a herramientas modulares impulsadas por operadores para la evasi\u00f3n de defensa.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgykPgQ8A2SqXFTZPztvTmEXOBFR4sqTcln-X3d_fvEmrpYhvw-YEebSnHpXTyVbI-yqrKUxhwC4wCW8h0wj4DrjSzHyB4xH10wqh1YC1XvX20li6vrOUOEJqvyYLqt1kSKhc4LHHxpn2eDCzNCY-iouis-H-aULq3ckms96C3b_7rdj-eLsZ73Cn7Pj8QH\/s1700-e365\/TAG-195.jpg\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgykPgQ8A2SqXFTZPztvTmEXOBFR4sqTcln-X3d_fvEmrpYhvw-YEebSnHpXTyVbI-yqrKUxhwC4wCW8h0wj4DrjSzHyB4xH10wqh1YC1XvX20li6vrOUOEJqvyYLqt1kSKhc4LHHxpn2eDCzNCY-iouis-H-aULq3ckms96C3b_7rdj-eLsZ73Cn7Pj8QH\/s1700-e365\/TAG-195.jpg\" alt=\"\" border=\"0\" data-original-height=\"1162\" data-original-width=\"2000\"\/><\/a><\/div>\n<p>Asociadas con una familia de malware llamada More_eggs, las herramientas del actor de amenazas han sido utilizadas por otros grupos de delitos cibern\u00e9ticos como Cobalt Group (tambi\u00e9n conocido como Cobalt Gang), Evilnum y FIN6. Otro actor de amenazas asociado con Golden Chickens MaaS es TAG-127, que utiliza ClickFix o VenomLNK como m\u00e9todos de entrega.<\/p>\n<p>Se ha descubierto que las cadenas de ataque aprovechan los se\u00f1uelos ClickFix para ejecutar cargas \u00fatiles OCX descargadas de la infraestructura de preparaci\u00f3n controlada por el atacante, lo que resulta en la instalaci\u00f3n de TinyEgg. La funcionalidad del malware se limita al acceso inicial y las funciones de creaci\u00f3n de perfiles, y toda la capacidad posterior a la explotaci\u00f3n se transfiere a ChonkyChicken. TinyEgg tambi\u00e9n est\u00e1 dise\u00f1ado para finalizar la ejecuci\u00f3n si se detectan entornos de pruebas y de an\u00e1lisis automatizados.<\/p>\n<p>El malware establece conexiones con un servidor C2 utilizando WebSockets para facilitar un shell de comandos interactivo, ejecutar entradas proporcionadas por el operador a los comandos de sesi\u00f3n de shell activos, enviar la salida al controlador y preparar cargas \u00fatiles OCX.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thn.news\/sygnia-webinar\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhleDdO_4O9-8Pkmidym8Pi9yV4V4jI_M5U0iNRDuoW5Jz3pq7DskZI9OqIChqmY1soaW1ppsC8VLeO55vxSh1m5Q8MJ9ZHuEOSNO5q7K-LwrF6IxrRfCIJOFyoBGaLXGZpkSo8tDirSz-9LmmoOs31tQTlvJWBMLiWJKqMFFaiMmNLV3l-p8zXaFm1VmGG\/s728-e100\/sygnia-d-2.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La versi\u00f3n modular de ChonkyChicken, por otro lado, admite 14 componentes diferentes que se obtienen de la infraestructura C2 seg\u00fan sea necesario, lo que permite a los operadores ofrecer selectivamente ciertas funciones sobre la marcha que las arquitecturas monol\u00edticas de malware no pueden admitir f\u00e1cilmente sin un mecanismo de actualizaci\u00f3n. Los 14 m\u00f3dulos permiten las siguientes funciones:<\/p>\n<ul>\n<li>Gesti\u00f3n de procesos<\/li>\n<li>Captura de pantalla y enumeraci\u00f3n de monitores.<\/li>\n<li>Manipulaci\u00f3n de archivos<\/li>\n<li>Ejecuci\u00f3n de comando<\/li>\n<li>Reconocimiento de red<\/li>\n<li>Reconocimiento basado en dominios<\/li>\n<li>Captura del portapapeles<\/li>\n<li>Registro de teclas<\/li>\n<li>captura de audio<\/li>\n<li>Comprobaci\u00f3n de tiempo de inactividad<\/li>\n<li>Solicitud HTTP\/S a trav\u00e9s del host<\/li>\n<li>Robo del navegador a trav\u00e9s de ChromEggscalator<\/li>\n<li>Gesti\u00f3n de persistencia<\/li>\n<\/ul>\n<p>La versi\u00f3n modular tambi\u00e9n admite un m\u00f3dulo llamado \u00abwtrack\u00bb cuyo prop\u00f3sito a\u00fan se desconoce. Esto sugiere la adici\u00f3n de una capacidad activa en desarrollo.<\/p>\n<p>\u00abEs casi seguro que la transici\u00f3n de TAG-195 a una arquitectura modular reduce la exposici\u00f3n a la detecci\u00f3n est\u00e1tica del implante base y probablemente tambi\u00e9n refleja los incentivos comerciales inherentes al modelo MaaS, incluida la capacidad de proporcionar capacidades selectivamente a los operadores, limitar la exposici\u00f3n si un cliente se ve comprometido y atender una gama m\u00e1s amplia de requisitos operativos\u00bb, dijo la compa\u00f1\u00eda de ciberseguridad.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los actores de amenazas detr\u00e1s del ecosistema de malware como servicio (MaaS) de Golden Chickens han resurgido con cuatro nuevas familias de malware, lo que indica que los operadores no dan se\u00f1ales de detenerse a pesar de las amplias revelaciones p\u00fablicas sobre su funcionamiento interno. Las familias de malware en cuesti\u00f3n son: TinyEgg, ChonkyChicken, una [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[4038,31,102,24,782,4037,570,60,4039,676,2170],"class_list":["post-1755","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-chickens","tag-con","tag-cuatro","tag-cyberdefensa-mx","tag-familias","tag-golden","tag-implantes","tag-malware","tag-modulares","tag-nuevas","tag-resurge"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1755","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1755"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1755\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1755"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1755"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1755"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}