Eine neue Wendung bei Ransomware Command-and-Control

Die Gruppe hinter der Chaos-Ransomware hat ein Malware-Tool namens msaRAT übernommen, das einen ungewöhnlichen Ansatz verfolgt, um auf infizierten Rechnern verborgen zu bleiben. Anstatt dass sein bösartiger Prozess – wie bei den meisten Schadprogrammen – direkt mit einem entfernten Server kommuniziert, übergibt msaRAT diese Aufgabe an einen legitimen Browser. Es startet eine headless (unsichtbare, GUI-lose) Instanz von Chrome oder Microsoft Edge, steuert sie über das Chrome DevTools-Protokoll (CDP) und lässt den Browser die gesamte ausgehende Kommunikation abwickeln. Der msaRAT-Prozess selbst berührt das Netzwerk niemals direkt; er bleibt auf Loopback beschränkt, das heißt, er kommuniziert nur mit der Browser-Instanz, die auf demselben Rechner läuft.

Das ist bedeutsam, weil es die übliche Erkennungslogik, auf die Sicherheitstools angewiesen sind, umkehrt. Analysten und automatisierte Abwehrmechanismen kennzeichnen normalerweise verdächtige Prozesse, die sich mit unbekannten externen IP-Adressen verbinden. Bei msaRAT ist der Prozess, der diese Verbindungen aufbaut, eine echte, signierte Browser-Binärdatei, und der erzeugte Datenverkehr ist so verkleidet, dass er wie etwas Gewöhnliches aussieht.

Warum das Routing über Twilio TURN für den Datenschutz relevant ist

Die von msaRAT gesteuerte Browserinstanz verbindet sich auch nicht mit einem einfachen Command-and-Control-Server. Sie leitet ihren verschlüsselten Verkehr über die TURN-Infrastruktur von Twilio weiter – einen Dienst, der normalerweise genutzt wird, um WebRTC-Verbindungen bei der Überwindung von Firewalls und NAT für Dinge wie Videoanrufe und Sprachchat zu helfen. Da über TURN weitergeleiteter Datenverkehr verschlüsselt und strukturell identisch mit legitimen WebRTC-Sitzungen ist, fügt er sich in jene Netzwerkaktivität ein, die Milliarden von browserbasierten Anrufen und Konferenztools täglich erzeugen.

Genau darin liegen die zentralen Implikationen für Privatsphäre und Sicherheit dieser Technik: Sie nutzt dieselben Protokolle und Dienste, die alltägliche Kommunikation schützen, um stattdessen bösartige Kommunikation zu schützen. Netzwerkverteidiger, die nach ungewöhnlichen Protokollen, auffälligen Ziel-Domains oder unverschlüsseltem Beacon-Verkehr suchen, werden hier keines dieser Signale finden. Das Verkehrsmuster sieht aus wie ein Videoanruf, nicht wie ein Ransomware-Betreiber, der sich bei einem infizierten Endpunkt zurückmeldet.

Dieser Ansatz spiegelt auch einen breiteren Trend unter Ransomware- und Erpressungsakteuren wider: das „Leben vom Browser“, eine Weiterentwicklung der älteren „Living off the Land“-Strategie, bei der Angreifer bereits auf einem Rechner vorhandene legitime Systemwerkzeuge nutzen, anstatt offensichtliche schädliche Binärdateien abzulegen. Ransomware-Gruppen haben durchgängig eine Vorliebe für Techniken gezeigt, die es ihnen ermöglichen, länger in Netzwerken zu verweilen, bevor sie eine Verschlüsselungsnutzlast zünden oder – zunehmend – zu reiner Datendiebstahl-Erpressung übergehen. Dieses Erpressungsmodell ist inzwischen so verbreitet, dass Gruppen regelmäßig öffentlich Opfer für sich reklamieren, wie im Fall der ShinyHunters-Behauptungen gegen Exact Sciences zu sehen, bei dem gestohlene Gesundheitsdaten als Druckmittel dienten – anstelle oder zusätzlich zur Dateiverschlüsselung.

Was das für Sie bedeutet

Für die meisten Einzelanwender ist msaRAT nichts, dem sie unmittelbar begegnen werden; es ist ein Werkzeug, das auf Organisationen abzielt, die von den Betreibern der Chaos-Ransomware aktiv für Netzwerkeinbrüche und Erpressung ins Visier genommen werden. Aber die grundlegende Lehre gilt allgemein: Angreifer werden immer besser darin, bösartigen Datenverkehr von normaler, verschlüsselter Browseraktivität ununterscheidbar zu machen. Das sollte die Erwartungen daran, was allein durch Netzwerküberwachung erkannt werden kann, neu kalibrieren.

Wenn Ihr Unternehmen stark auf die Inspektion des Perimeter-Verkehrs setzt, um Kompromittierungen zu erkennen, dann ist diese Technik eine Erinnerung daran, dass die Transparenz auf Endpunktebene – also was Prozesse tatsächlich auf einem Rechner tun, und nicht nur, was sie über das Kabel senden – immer wichtiger wird, nicht weniger. Eine von einem anderen Prozess still und leise gestartete Headless-Browserinstanz ist ein erkennbares Ereignis am Endpunkt, selbst dann, wenn ihr Netzwerkverkehr sauber aussieht.

Für alltägliche Nutzer liegt die praktische Erkenntnis weniger in dieser speziellen Malware als vielmehr in dem Umfeld, das sie signalisiert. Ransomware-Gruppen verfeinern ständig ihre Methoden, um sich anzupassen, und die Kompromittierungen, die schließlich zu verschlüsselten Dateien oder geleakten persönlichen Daten führen, beginnen meist mit etwas Banalem: einer Phishing-E-Mail, einem bösartigen Anhang oder einem verwundbaren, offen liegenden Dienst. Wachsamkeit in dieser Anfangsphase bleibt der wirksamste Schutz, um es später gar nicht erst mit etwas wie msaRAT zu tun zu bekommen.

Wichtige Erkenntnisse

  • msaRAT, mit der Chaos-Ransomware in Verbindung gebracht, steuert headless Chrome oder Edge über das Chrome DevTools-Protokoll, anstatt direkt mit C2-Servern zu kommunizieren.
  • Die Malware leitet verschlüsselten Command-and-Control-Verkehr über den TURN-Dienst von Twilio weiter, sodass er legitimem WebRTC-Verkehr wie Videoanrufen gleicht.
  • Diese Technik zielt darauf ab, die traditionelle netzwerkbasierte Erkennung zu umgehen, die nach ungewöhnlichen ausgehenden Verbindungen oder unverschlüsseltem Beaconing sucht.
  • Unternehmen sollten Netzwerküberwachung mit Endpunkttransparenz kombinieren, da der Browserprozess selbst und die Art, wie er gestartet wurde, ein erkennbares Signal bleibt, selbst wenn sein Datenverkehr sauber aussieht.
  • Der breitere Trend zu schwerer erkennbaren C2-Kanälen unterstreicht, warum zeitnahes Patchen, Phishing-Bewusstsein und starkes Endpunkt-Monitoring wesentliche Abwehrmaßnahmen gegen Ransomware-Einbrüche bleiben, bevor diese das Erpressungsstadium erreichen.