Chaos Ransomware's msaRAT versteckt sich in Chrome und Edge

Chaos-Ransomware findet ein neues Versteck: Ihren Webbrowser

Sicherheitsforscher von Cisco Talos haben eine neue Wendung in der Arbeitsweise der Chaos-Ransomware-Gruppe entdeckt. Statt direkt mit ihren Command-and-Control-Servern (C2) zu kommunizieren, übernimmt das neu identifizierte Tool der Gruppe, msaRAT, heimlich Chrome oder Edge auf einem infizierten Rechner und nutzt den Browser selbst als Boten. Da der Datenverkehr wie gewöhnliche Browseraktivität aussieht, entgeht er vielen Antiviren-Tools und Netzwerküberwachungssystemen, die darauf ausgelegt sind, verdächtige eigenständige Prozesse zu erkennen, nicht den täglich genutzten Browser.

Diese Vorgehensweise, manchmal als „Living off the Browser“ bezeichnet, ist eine Abwandlung der bekannten „Living off the Land“-Taktik, bei der Angreifer bereits auf einem System vorhandene legitime Software zweckentfremden, anstatt offensichtliche Malware-Dateien abzulegen. In diesem Fall haben die Ransomware-Betreiber diese Idee weiterentwickelt, indem sie eine vertrauenswürdige, häufig auf Whitelists stehende Anwendung zu ihrem verdeckten Kommunikationskanal machen. Unsere frühere Berichterstattung zu Wie msaRAT von Chaos Ransomware C2-Datenverkehr in Browsern versteckt erläutert die technischen Mechanismen ausführlicher, aber die Kurzversion ist einfach: Die Malware spricht nicht selbst mit ihren Steuerungsservern. Sie lässt den Browser das für sich erledigen.

Wie msaRAT Chrome und Edge manipuliert

Den Forschern zufolge handelt es sich bei msaRAT um einen in Rust geschriebenen Remote-Access-Trojaner, der über täuschende Bereitstellungsmethoden auf die Rechner der Opfer gelangt, darunter als gewöhnliche Windows-Updates getarnte Installationsprogramme. Nach der Installation startet er Chrome oder Edge in einem versteckten Headless-Modus, sodass das Opfer nie ein Browserfenster sieht. Anschließend nutzt er das Chrome DevTools Protocol (CDP), eine legitime, in diesen Browsern integrierte Funktion für Entwickler und Automatisierungstools, um das Browserverhalten ferngesteuert zu lenken.

Die Malware leitet ihren Command-and-Control-Datenverkehr anschließend über WebRTC-Verbindungen und Dienste wie das Twilio TURN-Relay, beides legitime Technologien für Echtzeitkommunikation und Videoanrufe. Da dieser Datenverkehr verschlüsselt ist und über eine Infrastruktur läuft, die auch von zahllosen legitimen Anwendungen genutzt wird, geht er in der normalen Webaktivität unter. Sicherheitstools, die den Netzwerkverkehr auf bekannte Malware-Signaturen oder ungewöhnliche Zielserver prüfen, haben es deutlich schwerer, dies von der alltäglichen Browser-Nutzung zu unterscheiden – und genau darum geht es.

Praktisch bedeutet das, dass ein infizierter Rechner einen dauerhaften, ferngesteuerten Kanal für Datendiebstahl und weitere Kompromittierung aufrechterhalten kann, während die Sicherheitssoftware nichts Auffälligeres sieht als Chrome oder Edge bei ihrer normalen Arbeit. Für Ransomware-Gruppen, die sich traditionell auf leichter erkennbare Methoden zur Aufrechterhaltung des Fernzugriffs verlassen haben, ist dies eine bedeutsame Weiterentwicklung.

Warum traditionelle Abwehrmaßnahmen hier an ihre Grenzen stoßen

Die meisten Antiviren- und Endpoint-Detection-Tools sind darauf ausgelegt, bösartige ausführbare Dateien, ungewöhnliches Prozessverhalten oder Verbindungen zu bekannten bösartigen IP-Adressen zu erkennen. msaRAT umgeht alle drei. Der Prozess, der die schädliche Aktivität ausführt, ist der Browser selbst – eine Software, die auf nahezu jedem Gerät vorhanden ist und standardmäßig als vertrauenswürdig gilt. Die Zielinfrastruktur, Dienste wie das Twilio TURN-Relay, ist legitim und weit verbreitet; sie vollständig zu blockieren, würde andere Anwendungen lahmlegen, auf die Menschen angewiesen sind. Und da der Browser im Headless-Modus läuft, gibt es weder ein sichtbares Fenster noch ein offensichtliches Anzeichen dafür, dass etwas Ungewöhnliches geschieht.

Genau deshalb betonen Sicherheitsforscher die verhaltens- und netzwerkbasierte Erkennung gegenüber einer alleinigen signaturbasierten Virenabwehr. Das Aufspüren unerwarteter Headless-Browser-Prozesse, ungewöhnlicher ausgehender WebRTC-Sitzungen, die ohne Benutzerinteraktion gestartet werden, oder von Browsern, die außerhalb erwarteter Entwicklungskontexte über Automatisierungsprotokolle wie CDP gestartet werden, kann helfen, solche Aktivitäten zu erkennen, selbst wenn die Malware selbst der herkömmlichen Scannung entgeht.

Was das für Sie bedeutet

Für Privatanwender hängt die direkte Gefährdung durch msaRAT davon ab, ob die Chaos-Ransomware auf Endverbraucher abzielt oder sich – wie bei Ransomware-Gruppen üblich – vor allem auf Organisationen konzentriert. Unabhängig davon ist die zugrundeliegende Technik, bösartigen Datenverkehr in legitimen Browserprozessen zu verstecken, eine Taktik, die andere Malware-Familien im Laufe der Zeit wahrscheinlich übernehmen werden, da sie sich als ausgesprochen wirksam bei der Umgehung von Erkennungsmechanismen erwiesen hat.

Die praktische Lehre für Alltagsnutzer ebenso wie für IT-Administratoren lautet, dass es nicht länger ausreicht, einer Anwendung nur deshalb zu vertrauen, weil sie bekannt und legitim ist. Gefälschte Aufforderungen zu Software-Updates bleiben ein gängiger Verbreitungsweg für solche Malware, daher ist es wichtiger denn je, zu überprüfen, ob Update-Installationsprogramme direkt von offiziellen Quellen stammen. Ein VPN kann eine zusätzliche Schicht aus verschlüsseltem, verschleiertem Netzwerkverkehr bieten, die es Angreifern erschwert, Ihre Verbindung abzufangen oder zu manipulieren, aber es verhindert nicht, dass bereits auf Ihrem Gerät vorhandene Malware Ihren eigenen Browser missbraucht. Die Abwehr hängt hier stärker von sorgfältiger Software-Hygiene, der Überwachung auf ungewöhnliches Systemverhalten und der Aktualisierung der Sicherheitstools ab, damit diese neuen Muster erkennen können.

Umsetzbare Handlungsempfehlungen

• Laden Sie Software- und Betriebssystem-Updates ausschließlich direkt von den offiziellen Websites der Anbieter oder über integrierte Update-Mechanismen herunter – niemals von Pop-ups oder Drittanbieter-Installern.
• Achten Sie auf unerwartete Browser-Prozesse, die im Hintergrund laufen, insbesondere auf Headless-Instanzen, die nicht zu dem passen, was Sie geöffnet haben.
• Halten Sie Ihre Endpoint-Sicherheitssoftware auf dem neuesten Stand, da die Anbieter ihre Erkennungsmethoden aktiv anpassen, um verhaltensbasierte Indikatoren wie diesen zu erkennen, anstatt sich nur auf Dateisignaturen zu verlassen.
• Unternehmen sollten erwägen, auf verwalteten Geräten auf eine ungewöhnliche Nutzung von Browser-Automatisierungsprotokollen wie CDP und auf unerwartete WebRTC-Verbindungen zu überwachen.
• Betrachten Sie ein VPN als einen Teil einer mehrschichtigen Verteidigungsstrategie, die auch Endpoint Protection und umsichtige Gewohnheiten bei der Software-Installation einschließt – nicht als alleinige Lösung gegen Ransomware.

Wie das msaRAT-Tool der Chaos-Ransomware zeigt, finden Angreifer zunehmend kreative Wege, um sich mithilfe von Tools, denen wir bereits vertrauen, vor aller Augen zu verstecken. Sich über diese sich weiterentwickelnden Techniken zu informieren und sowohl das eigene Verhalten als auch die Sicherheitswerkzeuge entsprechend anzupassen, bleibt der zuverlässigste Weg, ihnen einen Schritt voraus zu sein.