Une nouvelle façon de se cacher en pleine lumière

Les chercheurs de Cisco Talos ont mis au jour une technique inédite du groupe de ransomware Chaos, qui transforme votre navigateur Web en canal de communication furtif. Baptisé msaRAT, cet outil est un cheval de Troie d’accès distant écrit en Rust. Il pilote une session Chrome ou Edge sans interface graphique à l’aide du protocole Chrome DevTools (CDP). Au lieu de se connecter directement à un serveur de commande et contrôle comme le fait la plupart des malwares, msaRAT achemine son trafic via les infrastructures légitimes de Cloudflare et Twilio, donnant à l’activité malveillante l’apparence d’un trafic navigateur ordinaire plutôt que d’un trafic réseau suspect.

Cette découverte est importante car elle marque un véritable changement dans la façon dont les groupes de ransomware échappent à la détection. Plutôt que de s’appuyer sur des protocoles maison ou des domaines suspects que les outils de sécurité sont entraînés à repérer, les opérateurs du ransomware Chaos vivent sur des infrastructures auxquelles les entreprises font confiance et qu’elles utilisent quotidiennement. Pour une analyse technique plus approfondie du fonctionnement de msaRAT au sein même du processus du navigateur, nous avons déjà détaillé comment le msaRAT du ransomware Chaos se cache dans Chrome et Edge.

Comment l’attaque fonctionne concrètement

D’après Cisco Talos, msaRAT a été découvert sur une machine Windows compromise, déployé comme une étape préalable avant le lancement du véritable chiffreur de ransomware. Il s’agit d’un schéma classique dans les opérations modernes de ransomware : les attaquants établissent d’abord une persistance et des capacités de reconnaissance, puis déploient la charge destructrice une fois qu’ils ont cartographié le réseau et identifié les données intéressantes.

Ce qui distingue msaRAT, c’est son utilisation du CDP pour contrôler une instance sans tête de Chrome ou Edge fonctionnant silencieusement en arrière-plan. En manipulant un véritable processus de navigateur, le malware peut relayer un trafic de commande et contrôle chiffré via l’infrastructure de relais TURN de Twilio, habituellement utilisée pour des applications WebRTC légitimes comme les appels vidéo et les communications en temps réel. Ce trafic transitant par les réseaux de Cloudflare et de Twilio et ressemblant à une signalisation WebRTC normale, il se fond dans le bruit de fond de l’activité Internet quotidienne. Les outils traditionnels de surveillance réseau qui recherchent des domaines malveillants connus ou des protocoles inhabituels risquent tout simplement de ne pas le signaler.

Il s’agit d’une forme de « living off trusted infrastructure », une variante de la tactique bien connue du « living off the land » où les attaquants utilisent les outils système natifs plutôt qu’un malware personnalisé. Ici, l’infrastructure de confiance n’est pas un binaire système, c’est le navigateur lui-même et les services cloud avec lesquels il dialogue couramment.

Pourquoi cela est important pour les entreprises et les particuliers

Les groupes de ransomware comme Chaos ne se contentent pas de chiffrer des fichiers ; ils exfiltrent souvent des données sensibles au préalable, ce qui signifie que des dossiers clients, des informations sur les employés et des documents professionnels peuvent être dérobés avant même que la demande de rançon n’apparaisse. Lorsqu’une technique comme msaRAT permet aux attaquants de communiquer furtivement pendant de longues périodes sans être détectés, elle accroît la fenêtre d’opportunité pour le vol de données et les déplacements latéraux au sein du réseau.

Pour les consommateurs, le risque est indirect mais bien réel. Si une entreprise avec laquelle vous traitez est compromise par le ransomware Chaos et que son canal C2 basé sur le navigateur passe inaperçu pendant des semaines, vos données personnelles peuvent être aspirées discrètement avant que quiconque ne s’en aperçoive. Cela s’inscrit dans une tendance plus large des opérations de ransomware : les attaquants investissent de plus en plus dans des techniques d’évasion qui exploitent la confiance accordée aux services cloud du quotidien, plutôt que de construire une infrastructure manifestement malveillante facile à blacklister.

Ce que cela signifie pour vous

Si vous êtes administrateur informatique ou professionnel de la sécurité, cette évolution vous rappelle que les processus de navigateur sans tête, exécutés sans fenêtre visible, méritent une attention particulière. Les instances inattendues de Chrome ou Edge lancées par des scripts, des tâches planifiées ou des processus parents inhabituels méritent d’être examinées, surtout si elles communiquent avec des ports de débogage CDP ou génèrent un trafic de type WebRTC inhabituel.

Pour les utilisateurs quotidiens et les propriétaires de petites entreprises sans équipe de sécurité dédiée, le principal enseignement est moins lié au malware spécifique qu’à une défense en profondeur. Maintenez les navigateurs et les systèmes d’exploitation à jour, limitez les privilèges administratifs et soyez attentifs aux outils de protection des points d’extrémité sur lesquels votre organisation s’appuie pour détecter les anomalies. Segmenter le trafic sensible et surveiller les connexions sortantes, y compris via un VPN ou un service de sécurité réseau réputé, peut ajouter une couche de visibilité qui permet de repérer des schémas inhabituels même lorsqu’un malware tente de se fondre dans le trafic cloud légitime.

Points d’action concrets

  • Surveillez l’apparition de processus Chrome ou Edge sans tête inattendus, en particulier ceux qui utilisent des ports de débogage à distance associés au CDP.
  • Maintenez les navigateurs, les systèmes d’exploitation et les outils de détection d’extrémité à jour pour repérer les indicateurs connus liés au ransomware Chaos et à msaRAT.
  • Limitez le trafic sortant lorsque c’est possible et examinez les journaux pour identifier les connexions WebRTC ou de relais TURN anormales qui ne correspondent pas à un usage professionnel attendu.
  • Formez les équipes informatiques à cette technique en évolution afin que les alertes ne soient pas ignorées simplement parce que le trafic semble provenir de services de confiance comme Cloudflare ou Twilio.

Alors que les groupes de ransomware continuent d’affiner leurs méthodes de dissimulation, rester informé des techniques comme celle utilisée dans cette campagne du ransomware Chaos constitue l’une des meilleures défenses disponibles. La sensibilisation, associée à une hygiène de base comme l’application des correctifs et la surveillance du trafic, demeure le moyen le plus fiable de réduire votre exposition à ces menaces en constante évolution.