Uusi käänne kiristysohjelmien komento- ja hallintaliikenteessä

Chaos-kiristysohjelman takana oleva ryhmä on ottanut käyttöön msaRAT-nimisen haittaohjelmatyökalun, joka käyttää epätavallista tapaa pysyä piilossa tartunnan saaneissa koneissa. Sen sijaan, että sen haitallinen prosessi kommunikoisi suoraan etäpalvelimen kanssa – kuten useimmat haittaohjelmat tekevät – msaRAT siirtää tämän tehtävän lailliselle selaimelle. Se käynnistää headless-istunnon (näkymätön, ilman graafista käyttöliittymää) Chromesta tai Microsoft Edgestä, ohjaa sitä Chrome DevTools Protocol (CDP) -protokollan kautta ja antaa selaimen hoitaa kaiken ulospäin suuntautuvan viestinnän. Itse msaRAT-prosessi ei koskaan ota suoraan yhteyttä verkkoon, vaan se pysyttelee silmukkaliikenteessä – eli se kommunikoi vain samalla koneella käynnissä olevan selainistunnon kanssa.

Tällä on merkitystä, koska se kääntää ylösalaisin sen havaitsemislogiikan, johon tietoturvatyökalut yleensä luottavat. Analyytikot ja automaattiset puolustusmekanismit tyypillisesti varoittavat epäilyttävistä prosesseista, jotka ottavat yhteyttä tuntemattomiin ulkoisiin IP-osoitteisiin. msaRATin tapauksessa yhteyden muodostava prosessi on aito, allekirjoitettu selainbinääri, ja sen tuottama liikenne on naamioitu tavallisen näköiseksi.

Miksi reititys Twilio TURN:n kautta on tärkeää yksityisyyden kannalta

msaRATin ohjaama selainistuntokaan ei yhdistä suoraan tavanomaiseen komento- ja hallintapalvelimeen. Se välittää salatun liikenteensä Twilion TURN-infrastruktuurin kautta – palvelun, jota normaalisti käytetään auttamaan WebRTC-yhteyksiä ylittämään palomuurit ja NAT:it esimerkiksi videopuheluissa ja äänikeskusteluissa. Koska TURN-välitysliikenne on salattua ja rakenteeltaan identtistä aidon WebRTC-liikenteen kanssa, se sulautuu siihen verkkotoimintaan, jota miljardeja selainpohjaisia puheluita ja neuvottelutyökaluja tuottaa päivittäin.

Tämä on tekniikan keskeinen yksityisyys- ja turvallisuusvaikutus: se hyödyntää samoja protokollia ja palveluita, jotka suojaavat tavallista viestintää, suojatakseen haitallista liikennettä. Verkon puolustajat, jotka etsivät poikkeavia protokollia, epätavallisia kohdeverkkotunnuksia tai salaamatonta beacon-liikennettä, eivät löydä tässä mitään näistä signaaleista. Liikenne näyttää videopuhelulta, ei siltä, että kiristysohjelmaoperaattori tarkistaisi tartunnan saaneen päätelaitteen tilan.

Tämä lähestymistapa heijastaa myös laajempaa suuntausta kiristysohjelmien ja kiristysoperaattoreiden keskuudessa kohti ”selaimen varassa elämistä”, mikä on jatkokehitystä vanhemmalle ”järjestelmän omilla työkaluilla elämisen” strategialle, jossa hyökkääjät käyttävät koneella jo olevia laillisia järjestelmätyökaluja sen sijaan, että toisivat sinne ilmeisiä haitallisia binäärejä. Kiristysohjelmaryhmät ovat johdonmukaisesti suosineet tekniikoita, joiden avulla ne voivat piileskellä verkossa pidempään ennen salaushyötykuorman laukaisemista tai – yhä useammin – siirtymistä pelkkään tietovarkauskiristykseen. Tämä kiristysmalli on yleistynyt siinä määrin, että ryhmät usein ilmoittavat uhreista julkisesti, kuten tapauksessa, jossa ShinyHuntersin väitteet Exact Sciencesia vastaan nähtiin varastettujen terveystietojen käyttö painostuskeinona tiedostojen salauksen sijaan – tai sen lisäksi.

Mitä tämä tarkoittaa sinulle

Yksittäisille käyttäjille msaRAT itsessään ei yleensä ole jotain, mitä kohtaat suoraan – se on työkalu, joka on suunnattu organisaatioille, joita Chaos-kiristysohjelmaoperaattorit aktiivisesti tähtäävät verkkohyökkäyksissä ja kiristyksessä. Mutta perusopetus pätee laajasti: hyökkääjät ovat yhä parempia tekemään haitallisesta liikenteestä erottamattoman normaalista, salatusta selainliikenteestä. Tämän tulisi muuttaa käsitystä siitä, mitä pelkällä verkkoliikenteen valvonnalla voidaan havaita.

Jos organisaatiosi luottaa vahvasti ulkokehän liikennetarkastuksiin tunkeutumisen havaitsemiseksi, tällainen tekniikka on muistutus siitä, että päätelaitetason näkyvyys – eli se, mitä prosessit todella tekevät koneella eikä vain se, mitä ne lähettävät verkkoon – on tulossa entistä tärkeämmäksi. Toisen prosessin hiljaisesti käynnistämä headless-selainistunto on havaittavissa oleva tapahtuma päätelaitteella, vaikka sen verkkoliikenne näyttäisi puhtaalta.

Tavallisille käyttäjille käytännön johtopäätös ei liity niinkään tähän tiettyyn haittaohjelmaan, vaan enemmänkin siihen toimintaympäristöön, josta se kertoo. Kiristysohjelmaryhmät hienosäätävät jatkuvasti tapojaan sulautua joukkoon, ja ne tietomurrot, jotka lopulta johtavat salattuihin tiedostoihin tai vuotaneisiin henkilötietoihin, alkavat yleensä jostain arkisesta: tietojenkalasteluviestistä, haitallisesta liitetiedostosta tai haavoittuvasta, avoimesta palvelusta. Valppaus siinä alkuvaiheessa on edelleen tehokkain suoja sellaisten haittaohjelmien kuin msaRATin kohtaamista vastaan myöhemmässä vaiheessa.

Keskeiset havainnot

  • Chaos-kiristysohjelmaan kytkeytyvä msaRAT ohjaa headless Chrome- tai Edge-selainta Chrome DevTools Protocol -protokollan kautta sen sijaan, että kommunikoisi suoraan C2-palvelimien kanssa.
  • Haittaohjelma välittää salatun komento- ja hallintaliikenteen Twilion TURN-palvelun kautta, jolloin se muistuttaa laillista WebRTC-liikennettä, kuten videopuheluita.
  • Tekniikka on suunniteltu kiertämään perinteiset verkkopohjaiset havaitsemismenetelmät, jotka etsivät epätavallisia ulospäin suuntautuvia yhteyksiä tai salaamatonta beacon-liikennettä.
  • Organisaatioiden tulisi yhdistää verkkoliikenteen valvonta ja päätelaitetason näkyvyys, sillä selainprosessi itsessään ja tapa, jolla se käynnistettiin, pysyvät havaittavissa olevana signaalina, vaikka liikenne näyttäisi puhtaalta.
  • Laajempi suuntaus kohti entistä huomaamattomampia C2-kanavia korostaa, miksi nopea tietoturvapäivitysten asentaminen, tietojenkalastelutietoisuus ja vahva päätelaiteseuranta säilyvät välttämättöminä suojakeinoina kiristysohjelmien tunkeutumisia vastaan ennen kuin ne ehtivät kiristysvaiheeseen.