PYSA Gang emprega o cavalo de Troia ChaChi para entregar ransomware
As gangues de ransomware geralmente contam com uma ampla gama de famílias de malware para obter controle total sobre os sistemas infectados, bem como para se espalhar lateralmente por redes inteiras. Uma das gangues de ransomware que recentemente introduziu um novo Trojan em seu arsenal é a gangue PYSA Ransomware ou Mespinoza Ransomware. Supostamente, eles estão usando um Trojan anteriormente não detectado, chamado ChaChi. Já foi usado em ataques contra entidades sediadas nos Estados Unidos que operam nos setores governamental e educacional.
Assim como muitos outros desenvolvedores de malware, a gangue PYSA também decidiu confiar na linguagem de programação Golang. Cada vez mais os cibercriminosos usam o Golang porque seu comportamento malicioso é, tecnicamente, um pouco mais difícil de detectar. Isso aumenta as chances da gangue da PYSA escapar das ferramentas antivírus e de outros produtos de segurança de rede.
Mas o que o Trojan ChaChi faz?
O Trojan ChaChi parece ser um projeto bem desenvolvido, que possui recursos e propriedades típicas do Trojan de acesso remoto (RAT). A ameaça é capaz de ganhar persistência em máquinas Windows comprometidas abusando das chaves do Registro do Windows, bem como do serviço de agendamento de tarefas . Além disso, seus operadores ganham a capacidade de acessar e manipular o sistema de arquivos, roubar credenciais, criar servidores proxy, executar comandos remotos e muito mais.
Apesar de todos esses recursos sofisticados, muitos dos ataques recentes envolvendo o Trojan ChaChi tinham um objetivo final - derrubar um implante de ransomware. Claro, a gangue PYSA usou seu próprio ransomware nesses ataques. Os criminosos não perseguem consumidores regulares e, em vez disso, seus olhos estão voltados para alvos de alto valor, que podem optar por pagar centenas de milhares de dólares para obter seus dados de volta.
Os alvos do Trojan ChaChi podem ser acessados por meio de e-mails fraudulentos, solicitando-lhes que analisem um anexo ou baixem um arquivo. Os funcionários devem ter cuidado com e-mails aleatórios solicitando que interajam com os anexos. Além disso, suas estações de trabalho devem ser regularmente corrigidas e protegidas por ferramentas antivírus confiáveis.
