ChaChi-Trojaner
ChaChi ist eine neue RAT-Bedrohung (Remote Access Trojan), die von Malware-Forschern entdeckt wurde. Die Malware ist vollständig in GoLang geschrieben, ein neuer Trend bei Cyberkriminellen, die eine deutliche Abkehr von den Sprachen C und C++ auf der Suche nach dunkleren und schwerer zu erkennenden Sprachen zeigen. GoLang scheint die bevorzugte Wahl zu sein, da die Anzahl der Malware-Bedrohungen, die die Sprache verwenden, in nur wenigen Jahren um etwa 2.000 % gestiegen ist.
Die Benennung der Bedrohung wurde von zwei Standardwerkzeugen abgeleitet - Chashell und Chisel. Die ChaChai-Malware verwendet im Rahmen ihres Betriebs die modifizierten Versionen der beiden Tools. Chashell wird als Reverse Shell über DNS-Provider beschrieben, während Chisel als Port-Forwarding-System fungiert.
Die Evolution des ChaChi-Trojaners
Die ersten Beispiele der im ersten Halbjahr 2020 entdeckten Bedrohung waren wenig ausgereift, hatten eine grundlegende Verschleierung und begrenzte Fähigkeiten. Damals wurde ChaChi bei einer Reihe von Angriffen gegen lokale Regierungsbehörden in Frankreich ausgenutzt. Seitdem hat sich die Bedrohung jedoch rasant entwickelt und ihre aktuellen Versionen sind weitaus bedrohlicher.
ChaChi verfügt jetzt über vollständige RAT-Funktionalitäten – es kann einen Hintertürkanal zum kompromittierten System einrichten, sensible Daten exfiltrieren, auf Anmeldeinformationen über den Windows Local Security Authority Subsystem Service (LSASS) zugreifen und sich seitlich im Netzwerk des Opfers bewegen. Zur Verschleierung verwendet die Bedrohung das öffentlich verfügbare Tool gobfuscate, das häufig für die Verschleierung von GoLang verwendet wird.
Auch die Ziele der RAT haben sich drastisch verändert. ChaChi wird jetzt bei Ransomware-Operationen verwendet, die auf große US-Schulen und Bildungsorganisationen abzielen.
Das neue Angriffsverhalten unterstützt die Vermutung, dass ChaChi von der Hackergruppe PYSA/Mespinoza entwickelt wurde. PYSA war an mehreren Ransomware-Kampagnen beteiligt und das FBI hat vor einer möglichen Zunahme der Angriffe der Gruppe auf Schulen in Großbritannien und den USA gewarnt.
