Un nouveau tournant dans le C2 des ransomwares

Le groupe à l'origine du ransomware Chaos a adopté un outil malveillant appelé msaRAT qui adopte une approche inhabituelle pour rester caché sur les machines infectées. Au lieu de faire communiquer directement son processus malveillant avec un serveur distant, comme le fait la plupart des malwares, msaRAT délègue cette tâche à un navigateur légitime. Il lance une instance headless (invisible, sans interface graphique) de Chrome ou Microsoft Edge, la contrôle via le protocole Chrome DevTools (CDP) et laisse le navigateur gérer toutes les communications sortantes. Le processus msaRAT lui-même n'accède jamais directement au réseau ; il reste confiné à l'interface de bouclage (loopback), c'est-à-dire qu'il ne communique qu'avec l'instance du navigateur exécutée sur la même machine.

C'est important car cela inverse la logique de détection habituelle sur laquelle s'appuient les outils de sécurité. Les analystes et les défenses automatisées signalent généralement les processus suspects qui contactent des adresses IP externes inconnues. Avec msaRAT, le processus qui établit la connexion est un véritable binaire de navigateur signé, et le trafic qu'il génère est déguisé pour paraître ordinaire.

Pourquoi le routage via Twilio TURN est important pour la confidentialité

L'instance de navigateur contrôlée par msaRAT ne se connecte pas non plus à un simple serveur de commande et contrôle. Elle relaie son trafic chiffré via l'infrastructure TURN de Twilio, un service normalement utilisé pour aider les connexions WebRTC à traverser les pare-feu et le NAT pour des usages tels que les appels vidéo et le chat vocal. Parce que le trafic relayé par TURN est chiffré et structurellement identique aux sessions WebRTC légitimes, il se fond dans le type d'activité réseau que des milliards d'appels et d'outils de conférence basés sur un navigateur génèrent chaque jour.

C'est là l'implication fondamentale pour la vie privée et la sécurité de cette technique : elle exploite les mêmes protocoles et services qui protègent les communications quotidiennes pour protéger des communications malveillantes. Les défenseurs réseau qui recherchent des protocoles anormaux, des domaines de destination inhabituels ou un trafic de beacon non chiffré ne trouveront ici aucun de ces signaux. Le motif de trafic ressemble à un appel vidéo, et non à un opérateur de ransomware prenant contact avec un terminal infecté.

Cette approche reflète aussi une tendance plus large chez les opérateurs de ransomware et d'extorsion vers le « vivre du navigateur » (living off the browser), une évolution de l'ancienne stratégie du « vivre de la terre » (living off the land) où les attaquants utilisent des outils système légitimes déjà présents sur une machine au lieu de déposer des binaires manifestement malveillants. Les groupes de ransomware ont toujours montré une préférence pour les techniques qui leur permettent de rester plus longtemps dans les réseaux avant de déclencher une charge utile de chiffrement ou, de plus en plus, de basculer vers une extorsion par vol de données pur. Ce modèle d'extorsion est devenu si courant que les groupes revendiquent régulièrement des victimes publiquement, comme on l'a vu dans des cas tels que les revendications de ShinyHunters contre Exact Sciences, où des données de santé volées ont été utilisées comme levier plutôt que, ou en plus du, chiffrement de fichiers.

Ce que cela signifie pour vous

Pour la plupart des utilisateurs individuels, msaRAT lui-même n'est pas quelque chose que vous rencontrerez directement ; c'est un outil destiné aux organisations que les opérateurs du ransomware Chaos ciblent activement pour l'intrusion réseau et l'extorsion. Mais la leçon sous-jacente s'applique largement : les attaquants deviennent de plus en plus habiles à rendre le trafic malveillant indiscernable de l'activité normale et chiffrée du navigateur. Cela devrait amener à revoir les attentes quant à ce que la seule surveillance réseau peut détecter.

Si votre organisation s'appuie fortement sur l'inspection du trafic périmétrique pour détecter les compromissions, ce type de technique rappelle que la visibilité au niveau des terminaux — c'est-à-dire ce que les processus font réellement sur une machine, et pas seulement ce qu'ils envoient sur le réseau — devient plus importante, et non moins. Une instance de navigateur headless lancée discrètement par un autre processus est un événement détectable au niveau du terminal, même lorsque son trafic réseau semble propre.

Pour les utilisateurs quotidiens, l'essentiel à retenir concerne moins ce malware spécifique que l'environnement qu'il signale. Les groupes de ransomware perfectionnent continuellement les moyens de se fondre dans la masse, et les compromissions qui aboutissent au chiffrement de fichiers ou à la fuite de données personnelles commencent généralement par quelque chose de banal : un e-mail de phishing, une pièce jointe malveillante ou un service exposé vulnérable. La vigilance à ce stade initial reste la défense la plus efficace pour éviter de croiser un jour en aval quelque chose comme msaRAT.

Points clés à retenir

  • msaRAT, lié au ransomware Chaos, contrôle des instances Chrome ou Edge en mode headless via le protocole Chrome DevTools plutôt que de communiquer directement avec les serveurs C2.
  • Le malware relaie le trafic de commande et contrôle chiffré via le service TURN de Twilio, le faisant ressembler à du trafic WebRTC légitime, comme des appels vidéo.
  • Cette technique est conçue pour déjouer la détection réseau traditionnelle qui recherche des connexions sortantes inhabituelles ou des signaux de beacon non chiffrés.
  • Les organisations devraient associer la surveillance réseau à la visibilité des terminaux, car le processus navigateur lui-même, ainsi que la manière dont il a été lancé, reste un signal détectable même lorsque son trafic semble propre.
  • La tendance plus large vers des canaux C2 plus furtifs souligne pourquoi des correctifs rapides, une sensibilisation au phishing et une surveillance solide des terminaux restent des défenses essentielles contre les intrusions de ransomware avant qu'elles n'atteignent le stade de l'extorsion.