Un nuevo giro en el comando y control del ransomware

El grupo detrás del ransomware Chaos ha adoptado una herramienta maliciosa llamada msaRAT que emplea un enfoque inusual para permanecer oculto en las máquinas infectadas. En lugar de que su proceso malicioso hable directamente con un servidor remoto, como hace la mayoría del malware, msaRAT le cede esa tarea a un navegador legítimo. Lanza una instancia sin cabeza (invisible, sin interfaz gráfica) de Chrome o Microsoft Edge, la controla a través del Protocolo de DevTools de Chrome (CDP) y deja que el navegador maneje toda la comunicación saliente. El proceso de msaRAT nunca toca la red directamente; permanece confinado en la interfaz de bucle invertido, es decir, sólo habla con la instancia del navegador que se ejecuta en la misma máquina.

Esto es importante porque invierte la lógica de detección habitual en la que confían las herramientas de seguridad. Los analistas y las defensas automatizadas suelen marcar los procesos sospechosos que contactan con direcciones IP externas desconocidas. Con msaRAT, el proceso que establece ese contacto es un binario de navegador real y firmado, y el tráfico que genera se disfraza para parecer algo normal.

Por qué el enrutamiento a través de Twilio TURN es relevante para la privacidad

La instancia del navegador que controla msaRAT tampoco se conecta a un servidor de comando y control ordinario. Retransmite su tráfico cifrado a través de la infraestructura TURN de Twilio, un servicio que normalmente se utiliza para ayudar a las conexiones WebRTC a atravesar cortafuegos y NAT en aplicaciones como videollamadas y chats de voz. Dado que el tráfico retransmitido por TURN está cifrado y es estructuralmente idéntico a las sesiones WebRTC legítimas, se mezcla con el tipo de actividad de red que generan a diario miles de millones de llamadas y herramientas de conferencia basadas en el navegador.

Esta es la principal implicación para la privacidad y la seguridad de la técnica: explota los mismos protocolos y servicios que protegen las comunicaciones cotidianas para, en cambio, proteger las maliciosas. Los defensores de redes que buscan protocolos anómalos, dominios de destino inusuales o tráfico de baliza no cifrado no encontrarán ninguna de esas señales aquí. El patrón de tráfico se asemeja al de una videollamada, no al de un operador de ransomware comprobando el estado de un equipo infectado.

Este enfoque también refleja una tendencia más amplia entre los operadores de ransomware y extorsión hacia el concepto de "vivir del navegador", una evolución de la antigua estrategia de "vivir de la tierra", en la que los atacantes utilizan herramientas legítimas del sistema ya presentes en la máquina en lugar de colocar binarios maliciosos evidentes. Los grupos de ransomware han mostrado constantemente preferencia por técnicas que les permiten permanecer más tiempo en las redes antes de detonar una carga útil de cifrado o, cada vez más, pivotar hacia la extorsión basada únicamente en el robo de datos. Ese modelo de extorsión se ha vuelto tan común que los grupos afirman públicamente tener víctimas con regularidad, como se vio en casos como el de las reclamaciones de ShinyHunters contra Exact Sciences, donde los datos de salud robados se utilizaron como palanca en lugar del cifrado de archivos, o además de él.

Qué significa esto para ti

Para la mayoría de los usuarios individuales, msaRAT en sí mismo no es algo con lo que vayas a encontrarte directamente; es una herramienta dirigida a las organizaciones que los operadores del ransomware Chaos están atacando activamente con fines de intrusión en redes y extorsión. Pero la lección subyacente se aplica en un sentido amplio: los atacantes están mejorando su capacidad para hacer que el tráfico malicioso sea indistinguible de la actividad normal y cifrada del navegador. Eso debería recalibrar las expectativas sobre lo que la monitorización de red por sí sola puede detectar.

Si tu organización depende en gran medida de la inspección del tráfico perimetral para detectar una intrusión, este tipo de técnica es un recordatorio de que la visibilidad a nivel de endpoint —es decir, qué están haciendo realmente los procesos en una máquina, y no solo lo que envían por la red— es cada vez más importante, en lugar de menos. Una instancia de navegador sin cabeza lanzada silenciosamente por otro proceso es un evento detectable en el endpoint incluso cuando su tráfico de red parece limpio.

Para los usuarios cotidianos, la conclusión práctica no tiene tanto que ver con este malware en concreto como con el entorno que señala. Los grupos de ransomware perfeccionan continuamente sus formas de mimetizarse, y las infecciones que finalmente desembocan en archivos cifrados o datos personales filtrados suelen comenzar con algo mundano: un correo de phishing, un adjunto malicioso o un servicio expuesto vulnerable. La vigilancia en esa etapa inicial sigue siendo la defensa más eficaz para no encontrarse nunca con algo como msaRAT en el futuro.

Puntos clave

  • msaRAT, vinculado al ransomware Chaos, controla Chrome o Edge sin cabeza a través del Protocolo de DevTools de Chrome en lugar de comunicarse directamente con servidores C2.
  • El malware retransmite tráfico de comando y control cifrado a través del servicio TURN de Twilio, haciéndolo parecer tráfico WebRTC legítimo, como el de las videollamadas.
  • Esta técnica está diseñada para burlar la detección tradicional basada en red que busca conexiones salientes inusuales o balizas no cifradas.
  • Las organizaciones deberían combinar la monitorización de red con la visibilidad a nivel de endpoint, ya que el propio proceso del navegador y la forma en que se lanzó siguen siendo una señal detectable incluso cuando su tráfico parece limpio.
  • La tendencia general hacia canales C2 más sigilosos subraya por qué la aplicación rápida de parches, la concienciación sobre el phishing y una monitorización sólida de los endpoints siguen siendo defensas esenciales contra las intrusiones de ransomware antes de que lleguen a la fase de extorsión.