ChaChi Trojaans
ChaChi is een nieuwe RAT-bedreiging (Remote Access Trojan) die is ontdekt door malwareonderzoekers. De malware is volledig in GoLang geschreven, een recente trend onder cybercriminelen die een merkbare verschuiving van de C- en C++-talen laten zien op zoek naar meer obscure en moeilijker te detecteren talen. GoLang lijkt de voorkeur te hebben, met een toename van ongeveer 2.000% van het aantal malwarebedreigingen die de taal gebruiken in slechts een paar jaar tijd.
De naamgeving van de dreiging is afgeleid van twee kant-en-klare tools - Chashell en Chisel. De ChaChai-malware gebruikt de gewijzigde versies van de twee tools als onderdeel van zijn werking. Chashell wordt beschreven als een omgekeerde shell over DNS-provider, terwijl Chisel fungeert als een systeem voor het doorsturen van poorten.
De evolutie van de ChaChi-trojan
De eerste voorbeelden van de dreiging die in de eerste helft van 2020 werden gedetecteerd, vertoonden weinig verfijning, hadden basisverduistering en beperkte mogelijkheden. Destijds werd ChaChi ingezet bij een reeks aanvallen op lokale overheidsinstanties in Frankrijk. Sindsdien heeft de dreiging zich echter snel ontwikkeld en zijn de huidige versies veel bedreigender.
ChaChi beschikt nu over volledige RAT-functionaliteiten - het kan een achterdeur naar het gecompromitteerde systeem opzetten, gevoelige gegevens onderscheppen, toegang krijgen tot inloggegevens via de Windows Local Security Authority Subsystem Service (LSASS) en lateraal binnen het netwerk van het slachtoffer bewegen. Voor verduistering maakt de dreiging gebruik van de openbaar beschikbare tool gobfuscate die een gebruikelijke keuze is voor GoLang-verduistering.
Ook de doelen van de RAT hebben een drastische wijziging ondergaan. ChaChi wordt nu gebruikt bij ransomware-operaties die gericht zijn op grote Amerikaanse scholen en onderwijsorganisaties.
Het nieuwe aanvalsgedrag ondersteunt het vermoeden dat ChaChi is ontwikkeld door de hackergroep PYSA/Mespinoza. PYSA is betrokken geweest bij verschillende ransomware-campagnes en de FBI heeft eerder gewaarschuwd voor een mogelijke toename van de aanvallen van de groep op scholen in het VK en de VS.
