PYSA Gang emplea el troyano ChaChi para entregar ransomware
Las bandas de ransomware a menudo dependen de una amplia gama de familias de malware para obtener un control completo sobre los sistemas infectados, así como para propagarse lateralmente a través de redes enteras. Una de las bandas de ransomware que ha introducido recientemente un nuevo troyano en su arsenal es la banda PYSA Ransomware o Mespinoza Ransomware. Al parecer, están usando un troyano previamente no detectado llamado ChaChi. Ya se ha utilizado en ataques contra entidades con sede en Estados Unidos que operan en los sectores gubernamental y educativo.
Al igual que muchos otros desarrolladores de malware, la banda PYSA también ha decidido confiar en el lenguaje de programación Golang. Cada vez más ciberdelincuentes utilizan Golang porque su comportamiento malicioso es, técnicamente, un poco más difícil de detectar. Esto aumenta las probabilidades de que la pandilla PYSA evite las herramientas antivirus y otros productos de seguridad de la red.
Pero, ¿qué hace el troyano ChaChi?
El troyano ChaChi parece ser un proyecto bien desarrollado, que tiene características y propiedades típicas del troyano de acceso remoto (RAT). La amenaza puede ganar persistencia en máquinas Windows comprometidas al abusar de las claves del Registro de Windows, así como del servicio de programación de tareas. . Además, sus operadores obtienen la capacidad de acceder y manipular el sistema de archivos, robar credenciales, crear servidores proxy, ejecutar comandos remotos y más.
A pesar de todas estas características sofisticadas, muchos de los ataques recientes para involucrar al troyano ChaChi tenían un objetivo final: soltar un implante de ransomware. Por supuesto, la banda PYSA utilizó su propio ransomware en estos ataques. Los delincuentes no persiguen a los consumidores habituales y, en cambio, sus miras se fijan en objetivos de alto valor, que pueden optar por pagar cientos de miles de dólares para recuperar sus datos.
Los objetivos del troyano ChaChi pueden ser contactados a través de correos electrónicos fraudulentos, pidiéndoles que revisen un archivo adjunto o que descarguen un archivo. Los empleados deben tener cuidado con los correos electrónicos aleatorios que les piden que interactúen con los archivos adjuntos. Además, sus estaciones de trabajo deben ser parcheadas y protegidas regularmente por herramientas antivirus confiables.
