msaRAT der Chaos-Ransomware verbirgt C2-Verkehr in Ihrem Browser

Eine neue Art, sich in aller Offenheit zu verstecken

Forscher von Cisco Talos haben eine neue Technik der Chaos-Ransomware-Gruppe entdeckt, die Ihren eigenen Webbrowser in einen verdeckten Kommunikationskanal verwandelt. Das Tool mit dem Namen msaRAT ist ein in Rust geschriebener Remote-Access-Trojaner, der eine headless Chrome- oder Edge-Sitzung über das Chrome DevTools Protocol (CDP) steuert. Anstatt sich wie die meiste Malware direkt mit einem Command-and-Control-Server zu verbinden, leitet msaRAT seinen Datenverkehr über legitime Infrastrukturen von Cloudflare und Twilio, sodass die Aktivitäten des Angreifers wie normaler Browserverkehr aussehen und nicht wie bösartige Netzwerkaktivitäten.

Diese Entdeckung ist bedeutsam, weil sie einen wesentlichen Wandel darin darstellt, wie Ransomware-Gruppen der Erkennung entgehen. Anstatt auf benutzerdefinierte Protokolle oder verdächtige Domains zu setzen, auf die Sicherheitstools trainiert sind, nutzen die Betreiber der Chaos-Ransomware Infrastrukturen, denen Unternehmen täglich vertrauen und die sie täglich verwenden. Wenn Sie eine tiefergehende technische Aufschlüsselung wünschen, wie msaRAT innerhalb des Browserprozesses selbst funktioniert, haben wir bereits ausführlicher darüber berichtet, wie sich das msaRAT der Chaos-Ransomware in Chrome und Edge versteckt.

Wie der Angriff tatsächlich funktioniert

Laut Cisco Talos wurde msaRAT auf einem kompromittierten Windows-Rechner entdeckt und wurde als Vorbereitungsschritt vor dem eigentlichen Start des Ransomware-Verschlüsselers eingesetzt. Dies ist ein häufiges Muster bei modernen Ransomware-Angriffen: Angreifer etablieren zuerst Persistenz und Aufklärungsfähigkeiten und setzen dann die zerstörerische Nutzlast ein, sobald sie das Netzwerk kartiert und wertvolle Daten identifiziert haben.

Was msaRAT auszeichnet, ist die Verwendung von CDP, um eine headless Instanz von Chrome oder Edge zu steuern, die leise im Hintergrund läuft. Durch das Marionettenspiel mit einem echten Browserprozess kann die Malware verschlüsselten Command-and-Control-Verkehr über die TURN-Relay-Infrastruktur von Twilio weiterleiten, die normalerweise für legitime WebRTC-Anwendungen wie Videoanrufe und Echtzeitkommunikation genutzt wird. Da dieser Datenverkehr über die Netzwerke von Cloudflare und Twilio läuft und normalem WebRTC-Signalisierungsverkehr ähnelt, geht er im Hintergrundrauschen des alltäglichen Internetverkehrs unter. Herkömmliche Netzwerküberwachungstools, die nach bekannten bösartigen Domains oder ungewöhnlichen Protokollen suchen, erkennen ihn möglicherweise einfach nicht.

Dies ist eine Form des „Lebens von vertrauenswürdiger Infrastruktur", eine Variante der bekannten „Living-off-the-Land"-Taktik, bei der Angreifer auf integrierte Systemwerkzeuge anstatt auf eigene Malware setzen. Hier ist die vertrauenswürdige Infrastruktur keine Systembinärdatei, sondern der Browser selbst und die Cloud-Dienste, mit denen er üblicherweise kommuniziert.

Warum das für Unternehmen und Verbraucher wichtig ist

Ransomware-Gruppen wie Chaos verschlüsseln nicht nur Dateien; sie schleusen oft zuerst sensible Daten ab, was bedeutet, dass Kundendaten, Mitarbeiterinformationen und Geschäftsdokumente gestohlen werden können, bevor überhaupt eine Lösegeldforderung erscheint. Wenn eine Technik wie msaRAT es Angreifern ermöglicht, über längere Zeiträume unentdeckt zu kommunizieren, vergrößert dies das Zeitfenster für Datendiebstahl und laterale Bewegungen im Netzwerk.

Für Verbraucher ist das Risiko indirekt, aber real. Wenn ein Unternehmen, mit dem Sie Geschäfte machen, von der Chaos-Ransomware kompromittiert wird und dessen browserbasierter C2-Kanal wochenlang unentdeckt bleibt, könnten Ihre persönlichen Daten stillschweigend abfließen, bevor es jemand bemerkt. Dies ist Teil eines breiteren Trends bei Ransomware-Angriffen: Angreifer investieren zunehmend in Umgehungstechniken, die das Vertrauen in alltägliche Cloud-Dienste ausnutzen, anstatt offensichtlich bösartige Infrastrukturen aufzubauen, die leicht auf eine Blacklist gesetzt werden können.

Was das für Sie bedeutet

Wenn Sie IT-Administrator oder Sicherheitsexperte sind, ist diese Entwicklung eine Erinnerung daran, dass headless Browserprozesse, die ohne sichtbares Fenster laufen, genauer unter die Lupe genommen werden sollten. Unerwartete Chrome- oder Edge-Prozesse, die von Skripten, geplanten Aufgaben oder unbekannten übergeordneten Prozessen gestartet werden, sind eine Untersuchung wert, insbesondere wenn sie mit CDP-Debugging-Ports kommunizieren oder ungewöhnlichen WebRTC-artigen Datenverkehr erzeugen.

Für Alltagsnutzer und Kleinunternehmer ohne eigenes Sicherheitsteam geht es bei der praktischen Lehre weniger um die spezifische Malware, sondern vielmehr um eine mehrschichtige Verteidigung. Halten Sie Browser und Betriebssysteme auf dem neuesten Stand, schränken Sie administrative Rechte ein und seien Sie vorsichtig bei den Endpoint-Tools, auf die sich Ihre Organisation zur Erkennung von Anomalien verlässt. Die Segmentierung sensiblen Datenverkehrs und die Überwachung ausgehender Verbindungen, auch über ein vertrauenswürdiges VPN oder einen Netzwerksicherheitsdienst, können eine zusätzliche Sichtbarkeit schaffen, die dabei hilft, ungewöhnliche Muster zu erkennen, selbst wenn Malware versucht, sich unter legitimen Cloud-Verkehr zu mischen.

Umsetzbare Erkenntnisse

• Überwachen Sie auf unerwartete headless Chrome- oder Edge-Prozesse, insbesondere solche, die Remote-Debugging-Ports im Zusammenhang mit CDP verwenden.
• Halten Sie Browser, Betriebssysteme und Endpoint-Erkennungstools auf dem neuesten Stand, um bekannte Indikatoren für Chaos-Ransomware und msaRAT zu erkennen.
• Schränken Sie ausgehenden Datenverkehr wo möglich ein und überprüfen Sie Protokolle auf anomale WebRTC- oder TURN-Relay-Verbindungen, die nicht zur erwarteten geschäftlichen Nutzung passen.
• Schulen Sie IT-Teams über diese sich entwickelnde Technik, damit Warnungen nicht einfach ignoriert werden, nur weil der Datenverkehr scheinbar von vertrauenswürdigen Diensten wie Cloudflare oder Twilio stammt.

Da Ransomware-Gruppen ihre Versteckmethoden ständig verfeinern, ist das Informiertbleiben über Techniken wie die in dieser Chaos-Ransomware-Kampagne verwendete eine der besten verfügbaren Verteidigungsmaßnahmen. Sensibilisierung, gepaart mit grundlegender Hygiene wie Patching und Verkehrsüberwachung, bleibt der zuverlässigste Weg, um das Risiko durch diese sich weiterentwickelnden Bedrohungen zu verringern.