En ny drejning i ransomware-kommando-og-kontrol

Gruppen bag Chaos ransomware har taget et malwareværktøj kaldet msaRAT i brug, som bruger en usædvanlig tilgang til at forblive skjult på inficerede maskiner. I stedet for at lade sin ondsindede proces tale direkte med en fjernserver, som de fleste malware gør, overlader msaRAT den opgave til en legitim browser. Den starter en hovedløs (usynlig, uden GUI) instans af Chrome eller Microsoft Edge, styrer den via Chrome DevTools-protokollen (CDP) og lader browseren håndtere al udgående kommunikation. Selve msaRAT-processen rører aldrig netværket direkte; den holder sig til loopback, hvilket betyder, at den kun taler med browserinstansen på den samme maskine.

Dette er vigtigt, fordi det vender den sædvanlige detektionslogik, som sikkerhedsværktøjer er afhængige af, på hovedet. Analytikere og automatiserede forsvar markerer typisk mistænkelige processer, der kontakter ukendte eksterne IP-adresser. Med msaRAT er den proces, der foretager kontakten, en ægte, signeret browser-binær, og den trafik, den genererer, er forklædt til at ligne noget almindeligt.

Hvorfor routing gennem Twilio TURN har betydning for privatlivets fred

Browserinstansen, som msaRAT styrer, opretter heller ikke forbindelse til en almindelig kommando-og-kontrol-server. Den videresender sin krypterede trafik gennem Twilios TURN-infrastruktur, en tjeneste der normalt bruges til at hjælpe WebRTC-forbindelser med at krydse firewalls og NAT til f.eks. videoopkald og stemmechat. Fordi TURN-relætrafik er krypteret og strukturelt identisk med legitime WebRTC-sessioner, falder den i ét med den netværksaktivitet, som milliarder af browserbaserede opkald og konferenceværktøjer genererer hver dag.

Dette er den centrale privatlivs- og sikkerhedsmæssige implikation af teknikken: den udnytter de samme protokoller og tjenester, der beskytter dagligdags kommunikation, til i stedet at beskytte ondsindet kommunikation. Netværksforsvarere, der leder efter unormale protokoller, usædvanlige destinationsdomæner eller ukrypteret beacon-trafik, vil ikke finde nogen af disse signaler her. Trafikmønsteret ligner et videoopkald, ikke en ransomware-operatør, der tjekker ind hos et inficeret slutpunkt.

Denne tilgang afspejler også en bredere tendens blandt ransomware- og afpresningsoperatører i retning af at "leve af browseren", en videreudvikling af den ældre "lev af landet"-strategi, hvor angribere bruger legitime systemværktøjer, der allerede findes på en maskine, i stedet for at droppe åbenlyst ondsindede binære filer. Ransomware-grupper har konsekvent vist en præference for teknikker, der lader dem opholde sig længere i netværk, før de udløser en krypteringspayload eller i stigende grad skifter til ren datatyveri-afpresning. Denne afpresningsmodel er blevet så almindelig, at grupper regelmæssigt hævder ofre offentligt, som det ses i sager som ShinyHunters' påstande mod Exact Sciences, hvor stjålne sundhedsdata blev brugt som løftestang snarere end, eller i tillæg til, filkryptering.

Hvad det betyder for dig

For de fleste individuelle brugere er msaRAT i sig selv ikke noget, du vil støde direkte på; det er et værktøj rettet mod organisationer, som Chaos ransomware-operatører aktivt målretter for netværksintrusion og afpresning. Men den underliggende lektie gælder bredt: angribere bliver bedre til at gøre ondsindet trafik umulig at skelne fra normal, krypteret browseraktivitet. Det bør justere forventningerne til, hvad netværksovervågning alene kan fange.

Hvis din organisation i høj grad er afhængig af perimetertrafikinspektion for at fange kompromitteringer, er denne type teknik en påmindelse om, at synlighed på slutpunktsniveau – altså hvad processer faktisk foretager sig på en maskine, snarere end blot hvad de sender over ledningen – bliver vigtigere, ikke mindre. En hovedløs browserinstans, der stille og roligt startes af en anden proces, er en detekterbar hændelse på slutpunktet, selv når dens netværkstrafik ser ren ud.

For almindelige brugere er den praktiske pointe mindre om denne specifikke malware og mere om det miljø, den signalerer. Ransomware-grupper forfiner konstant måder at falde i ét med omgivelserne på, og de kompromitteringer, der i sidste ende fører til krypterede filer eller lækkede personlige data, starter ofte med noget banalt: en phishing-e-mail, en ondsindet vedhæftet fil eller en sårbar eksponeret tjeneste. Årvågenhed på det indledende stadie forbliver det mest effektive forsvar mod nogensinde at støde på noget som msaRAT senere i forløbet.

Nøglepunkter

  • msaRAT, der er knyttet til Chaos ransomware, styrer hovedløs Chrome eller Edge via Chrome DevTools-protokollen i stedet for at kommunikere direkte med C2-servere.
  • Malwaret videresender krypteret kommando-og-kontrol-trafik gennem Twilios TURN-tjeneste, så det ligner legitim WebRTC-trafik som videoopkald.
  • Teknikken er designet til at omgå traditionel netværksbaseret detektion, der leder efter usædvanlige udgående forbindelser eller ukrypteret beaconing.
  • Organisationer bør kombinere netværksovervågning med synlighed på slutpunkter, da browserprocessen selv, og hvordan den blev startet, forbliver et detekterbart signal, selv når dens trafik ser ren ud.
  • Den bredere tendens mod mere snigende C2-kanaler understreger, hvorfor rettidig patching, phishing-bevidsthed og stærk slutpunktsovervågning forbliver væsentlige forsvar mod ransomware-indtrængen, før de når afpresningsstadiet.