PYSA Gang utilizza il Trojan ChaChi per distribuire ransomware
Le bande di ransomware spesso si affidano a un'ampia gamma di famiglie di malware per ottenere il controllo completo sui sistemi infetti e per diffondersi lateralmente su intere reti. Uno dei gruppi di ransomware che ha recentemente introdotto un nuovo Trojan nel proprio arsenale è il gruppo PYSA Ransomware o Mespinoza Ransomware. Presumibilmente, stanno utilizzando un Trojan precedentemente non rilevato chiamato ChaChi. È già stato utilizzato in attacchi contro entità con sede negli Stati Uniti che operano nel settore governativo e dell'istruzione.
Proprio come molti altri sviluppatori di malware, anche la banda PYSA ha deciso di affidarsi al linguaggio di programmazione Golang. Sempre più criminali informatici utilizzano Golang perché il suo comportamento dannoso è, tecnicamente, leggermente più difficile da rilevare. Ciò aumenta le probabilità della banda PYSA di eludere gli strumenti antivirus e altri prodotti per la sicurezza della rete.
Ma cosa fa il Trojan ChaChi?
Il ChaChi Trojan sembra essere un progetto ben sviluppato, che ha caratteristiche e proprietà tipiche per Remote Access Trojan (RAT.). La minaccia è in grado di ottenere persistenza su macchine Windows compromesse abusando delle chiavi di registro di Windows, nonché del servizio di pianificazione delle attività . Inoltre, i suoi operatori acquisiscono la capacità di accedere e manipolare il file system, rubare credenziali, creare server proxy, eseguire comandi remoti e altro ancora.
Nonostante tutte queste fantastiche funzionalità, molti dei recenti attacchi per coinvolgere il Trojan ChaChi avevano un obiettivo finale: eliminare un impianto ransomware. Ovviamente, la banda PYSA ha utilizzato il proprio ransomware in questi attacchi. I criminali non inseguono i normali consumatori e, invece, i loro obiettivi sono puntati su obiettivi di alto valore, che potrebbero scegliere di pagare centinaia di migliaia di dollari per riavere i loro dati.
Gli obiettivi del Trojan ChaChi possono essere avvicinati tramite e-mail fraudolente, chiedendo loro di rivedere un allegato o di scaricare un file. I dipendenti devono prestare attenzione alle e-mail casuali che chiedono loro di interagire con gli allegati. Inoltre, le loro postazioni di lavoro dovrebbero essere regolarmente aggiornate e protette da strumenti antivirus affidabili.
