Chaos Ransomware trouve une nouvelle cachette : votre navigateur Web

Les chercheurs en sécurité de Cisco Talos ont découvert une nouvelle astuce dans le fonctionnement du groupe de rançongiciel Chaos. Plutôt que de communiquer directement avec ses serveurs de commande et de contrôle (C2), le nouvel outil identifié par le groupe, appelé msaRAT, prend discrètement le contrôle de Chrome ou Edge sur une machine infectée et utilise le navigateur lui-même comme messager. Comme le trafic ressemble à une activité de navigation ordinaire, il échappe en grande partie aux antivirus et aux systèmes de surveillance réseau conçus pour signaler les processus suspects autonomes, et non le navigateur que vous utilisez tous les jours.

Cette approche, parfois décrite comme « vivre du navigateur » (living off the browser), est une variante de la tactique bien connue du « vivre de la terre » (living off the land), où les attaquants détournent des logiciels légitimes déjà installés sur un système au lieu de déposer des fichiers malveillants évidents. Dans ce cas, les opérateurs du rançongiciel ont poussé l’idée plus loin en transformant une application de confiance, fréquemment placée en liste blanche, en leur canal de communication clandestin. Notre article précédent sur la façon dont le msaRAT de Chaos Ransomware cache le trafic C2 dans les navigateurs détaille davantage les mécanismes techniques, mais la version courte est simple : le logiciel malveillant ne communique pas lui-même avec ses contrôleurs. Il fait parler le navigateur à sa place.

Comment msaRAT manipule Chrome et Edge

Selon les chercheurs, msaRAT est un cheval de Troie d’accès à distance (RAT) écrit en Rust, qui s’introduit sur les machines des victimes par des méthodes de diffusion trompeuses, notamment des installateurs déguisés en mises à jour Windows classiques. Une fois installé, il lance Chrome ou Edge dans un mode sans tête (headless) caché, de sorte que la victime ne voit jamais de fenêtre de navigateur s’ouvrir. À partir de là, il utilise le protocole Chrome DevTools (CDP), une fonctionnalité légitime intégrée à ces navigateurs pour les développeurs et les outils d’automatisation, pour contrôler à distance le comportement du navigateur.

Le logiciel malveillant achemine ensuite son trafic de commande et de contrôle via des connexions WebRTC et des services tels que le relais TURN de Twilio, deux technologies légitimes utilisées pour la communication en temps réel et les appels vidéo. Comme ce trafic est chiffré et transite par une infrastructure utilisée par d’innombrables applications légitimes, il se fond dans l’activité web normale. Les outils de sécurité qui inspectent le trafic réseau à la recherche de signatures de logiciels malveillants connues ou de serveurs de destination inhabituels ont beaucoup plus de mal à le distinguer de l’utilisation quotidienne du navigateur, ce qui est précisément le but recherché.

Concrètement, une machine infectée peut maintenir un canal persistant et contrôlé à distance pour le vol de données et des compromissions supplémentaires, tandis que son logiciel de sécurité ne voit rien de plus alarmant que Chrome ou Edge faisant ce qu’il fait normalement. Il s’agit d’une évolution significative pour les groupes de rançongiciels, qui s’appuyaient traditionnellement sur des méthodes plus détectables pour maintenir un accès à distance.

Pourquoi les défenses traditionnelles peinent ici

La plupart des outils antivirus et de détection des points d’extrémité sont conçus pour repérer les exécutables malveillants, les comportements de processus inhabituels ou les connexions vers des adresses IP malveillantes connues. msaRAT contourne ces trois éléments. Le processus à l’origine de l’activité malveillante est le navigateur lui-même, un logiciel présent sur presque tous les appareils et considéré par défaut comme digne de confiance. L’infrastructure de destination, comme le service de relais TURN de Twilio, est légitime et largement utilisée, de sorte que la bloquer purement et simplement perturberait d’autres applications dont les gens dépendent. Et comme le navigateur fonctionne sans tête, il n’y a pas de fenêtre visible ni de signe évident pour l’utilisateur que quelque chose d’inhabituel se produit.

C’est précisément pourquoi les chercheurs en sécurité privilégient la détection comportementale et au niveau du réseau, plutôt que de se fier uniquement aux antivirus basés sur des signatures. Repérer des processus de navigateur sans tête inattendus, des sessions WebRTC sortantes inhabituelles lancées sans interaction de l’utilisateur, ou des navigateurs démarrés via des protocoles d’automatisation comme CDP en dehors des contextes de développement prévus, peut aider à signaler ce type d’activité même lorsque le logiciel malveillant lui-même échappe à l’analyse traditionnelle.

Ce que cela signifie pour vous

Pour les utilisateurs individuels, l’exposition directe à msaRAT dépend de la cible du rançongiciel Chaos : s’il vise les consommateurs ou principalement les organisations, ce dernier cas étant le modèle le plus courant pour les groupes de rançongiciels. Cela dit, la technique sous-jacente, qui consiste à cacher le trafic malveillant dans des processus de navigateur légitimes, est une tactique que d’autres familles de logiciels malveillants sont susceptibles d’adopter avec le temps, compte tenu de son efficacité apparente pour échapper à la détection.

La leçon pratique pour les utilisateurs quotidiens comme pour les administrateurs informatiques est qu’il ne suffit plus de faire confiance à une application simplement parce qu’elle est bien connue et légitime. Les fausses invites de mise à jour de logiciels restent une méthode de diffusion courante pour ce type de logiciel malveillant, il est donc plus que jamais crucial de vérifier que les installateurs de mises à jour proviennent directement de sources officielles. Un VPN peut ajouter une couche de trafic réseau chiffré et obscurci qui rend plus difficile pour les attaquants d’intercepter ou de manipuler votre connexion, mais il n’empêchera pas un logiciel malveillant déjà présent sur votre appareil d’abuser de votre propre navigateur. La défense repose ici davantage sur une hygiène logicielle rigoureuse, la surveillance des comportements inhabituels du système et la mise à jour des outils de sécurité pour reconnaître ces nouveaux schémas.

Points clés à retenir

  • Téléchargez les logiciels et les mises à jour du système d’exploitation uniquement à partir des sites officiels des éditeurs ou des mécanismes de mise à jour intégrés, jamais à partir de fenêtres contextuelles ou d’installateurs tiers.
  • Surveillez les processus de navigateur inattendus s’exécutant en arrière-plan, en particulier les instances sans tête qui ne correspondent à rien que vous ayez ouvert.
  • Maintenez à jour votre logiciel de sécurité des points d’extrémité, car les éditeurs adaptent activement les méthodes de détection pour repérer ce type d’indicateurs comportementaux plutôt que de se fier uniquement aux signatures de fichiers.
  • Les organisations devraient envisager de surveiller toute utilisation inhabituelle de protocoles d’automatisation de navigateur comme CDP et les connexions WebRTC inattendues sur les appareils gérés.
  • Considérez un VPN comme un élément d’une stratégie de défense à plusieurs niveaux qui inclut également la protection des points d’extrémité et des habitudes d’installation de logiciels prudentes, et non comme une solution autonome contre les rançongiciels.

Comme le montre l’outil msaRAT du rançongiciel Chaos, les attaquants trouvent de plus en plus de moyens créatifs de se cacher à la vue de tous en utilisant des outils auxquels nous faisons déjà confiance. Rester informé de ces techniques en constante évolution et adapter à la fois ses habitudes personnelles et ses outils de sécurité en conséquence reste le moyen le plus fiable de garder une longueur d’avance sur eux.