ChaChi троян
ChaChi - это новая угроза RAT (троян для удаленного доступа), обнаруженная исследователями вредоносных программ. Вредоносная программа полностью написана на GoLang - недавняя тенденция среди киберпреступников, которые демонстрируют заметный переход от языков C и C ++ в поисках более неясных и труднодоступных для обнаружения языков. GoLang кажется предпочтительным выбором, поскольку всего за пару лет количество вредоносных программ, использующих этот язык, увеличилось примерно на 2000%.
Название угрозы было получено из двух стандартных инструментов - Chashell и Chisel. Вредоносная программа ChaChai использует модифицированные версии двух инструментов в рамках своей работы. Chashell описывается как обратная оболочка над DNS-провайдером, а Chisel действует как система переадресации портов.
Эволюция троянца ChaChi
Первоначальные образцы угроз, обнаруженные в первой половине 2020 года, показали небольшую изощренность, базовую маскировку и ограниченные возможности. Тогда ЧаЧи использовался в серии нападений на местные органы власти во Франции. Однако с тех пор угроза стремительно развивалась, и ее текущие версии намного опаснее.
ChaChi теперь обладает полной функциональностью RAT - он может устанавливать бэкдор-канал к скомпрометированной системе, кражу конфиденциальных данных, доступ к учетным данным через службу подсистемы локального администратора безопасности Windows (LSASS) и горизонтальное перемещение в сети жертвы. Для обфускации угроза использует общедоступный инструмент gobfuscate, который часто используется для обфускации GoLang.
Цели RAT также претерпели радикальные изменения. ChaChi теперь используется в операциях с программами-вымогателями, нацеленными на крупные школы и образовательные организации США.
Новое поведение атаки подтверждает предположение, что ChaChi был разработан хакерской группой PYSA / Mespinoza. PYSA принимала участие в нескольких кампаниях по вымогательству, и ФБР выступило с предупреждением о потенциальном увеличении числа атак группы на школы, расположенные в Великобритании и США ранее.
