msaRAT: ransomware Chaos ukrywa C2 w przeglądarce

Cisco Talos opisał nowego trojana zdalnego dostępu (RAT) nazwanego msaRAT, przypisywanego grupie ransomware Chaos. Ciekawe jest nie samo istnienie kolejnego RAT-a, lecz jego sposób komunikacji: msaRAT nie łączy się bezpośrednio z serwerem sterującym, tylko prowadzi cały kanał dowodzenia (C2) przez legalny proces przeglądarki. To praktyczny przykład techniki „living off the browser”.

Trzymamy się opisu technicznego opublikowanego przez badaczy — bez spekulacji o liczbie ofiar czy konkretnych celach, których nie ujawniono.

Jak działa „living off the browser”

msaRAT jest napisany w języku Rust (z użyciem asynchronicznego runtime’u Tokio) i uruchamia na maszynie ofiary własną instancję Chrome lub Edge, którą steruje przez Chrome DevTools Protocol (CDP) — wbudowany w te przeglądarki interfejs debugowania. Przeglądarka przenosi następnie ruch C2 kanałem WebRTC.

Według Talos zewnętrzny ruch wychodzi z legalnego procesu przeglądarki i przybiera formę zwykłej aktywności: HTTPS do domeny deweloperskiej Cloudflare, zapytanie STUN do serwera Google, a potem WebRTC do przekaźnika Twilio. Dla systemów detekcji sieciowej wygląda to jak normalne korzystanie z sieci przez przeglądarkę, a nie jak komunikacja złośliwego oprogramowania.

Dlaczego to problem dla obrony

Wiele reguł wykrywania opiera się na założeniu, że malware łączy się z podejrzanym adresem własnym procesem. Tutaj tego sygnału nie ma: połączenie inicjuje zaufany proces przeglądarki, a ruch idzie do popularnych, legalnych usług. Klasyczne wskaźniki — nietypowy proces łączący się z nieznanym IP, samodzielny beacon do C2 — po prostu nie wystąpią.

To nie znaczy, że atak jest niewykrywalny. Oznacza to, że detekcja musi przesunąć się z sieci na host: kto i dlaczego uruchamia przeglądarkę w trybie zdalnego debugowania (flagi typu --remote-debugging-port), skąd bierze się headless-owa instancja Chrome bez interakcji użytkownika, jakie procesy potomne tworzy. To argument za dojrzałym monitoringiem bezpieczeństwa opartym na telemetrii EDR, a nie wyłącznie na zaporze.

Kontekst: to narzędzie grupy ransomware

msaRAT nie jest samodzielnym zagrożeniem w próżni — Talos wiąże go z operacjami ransomware Chaos. RAT służy do utrzymania dostępu i sterowania, a covert C2 utrudnia wykrycie na etapie poprzedzającym szyfrowanie. Skuteczna obrona przed ransomware to więc nadal ten sam łańcuch: ograniczyć wejście, wykryć aktywność pośrednią, mieć sprawne kopie zapasowe. Podstawy zebraliśmy w tekście ransomware: jak się bronić.

Co zrobić

1. Monitoruj nietypowe uruchomienia przeglądarek. Zwróć uwagę na Chrome/Edge startowane z flagami zdalnego debugowania oraz na instancje headless bez sesji użytkownika. To sygnał wart alertu w EDR.
2. Ogranicz zdalne debugowanie. Tam, gdzie to możliwe, blokuj lub kontroluj użycie --remote-debugging-port politykami na stacjach roboczych i serwerach.
3. Nie polegaj wyłącznie na detekcji sieciowej. Skoro ruch idzie przez zaufany proces do legalnych usług, potrzebna jest korelacja host–proces–sieć, nie sama analiza połączeń.
4. Utrzymuj offline’owe kopie zapasowe. Wobec grup ransomware odzyskiwalność jest ostatnią linią obrony — trzymaj się modelu 3-2-1 z kopią odizolowaną.
5. Ćwicz reakcję na incydent. Wykrycie RAT-a to początek, nie koniec. Przygotowana procedura skraca czas między alertem a odcięciem dostępu.

Najważniejszy wniosek

msaRAT pokazuje kierunek, w którym idzie ukrywanie C2: zamiast maskować własny ruch, przestępcy pożyczają wiarygodność zaufanego procesu. Odpowiedzią nie jest jedna reguła, lecz przesunięcie widoczności na host i procesy. Jeśli chcesz sprawdzić, czy Twój monitoring wychwyciłby taki kanał, porozmawiajmy o testach detekcji.

Źródła: Cisco Talos, The Hacker News, BleepingComputer, Help Net Security.