A Chaos ransomware új búvóhelyet talált: az Ön webböngészője

A Cisco Talos biztonsági kutatói új csavart fedeztek fel a Chaos zsarolóvírus-csoport működésében. Ahelyett, hogy közvetlenül kommunikálna a parancs- és vezérlő (C2) szervereivel, a csoport újonnan azonosított eszköze, az msaRAT, csendben átveszi az irányítást a Chrome vagy az Edge felett a fertőzött gépen, és magát a böngészőt használja hírvivőként. Mivel a forgalom hétköznapi böngészőtevékenységnek tűnik, nagy része észrevétlenül átsurran a vírusirtók és hálózatfigyelő rendszerek mellett, amelyeket arra terveztek, hogy a gyanús, önálló folyamatokat jelezzék, nem pedig a mindennap használt böngészőt.

Ez a megközelítés, amelyet néha „a böngészőből élésként” is emlegetnek, a jól ismert „a környezetből élés” (living off the land) taktikájának egy változata, amikor a támadók a rendszeren már meglévő legitim szoftvereket használják fel ahelyett, hogy feltűnő rosszindulatú fájlokat telepítenének. Ebben az esetben a zsarolóvírus üzemeltetői tovább vitték ezt az ötletet azzal, hogy egy megbízható, gyakran engedélyezőlistán szereplő alkalmazást változtattak titkos kommunikációs csatornájukká. Korábbi cikkünk, amely bemutatja, hogyan rejti el a Chaos ransomware msaRAT eszköze a C2 forgalmat a böngészőkben, részletesebben ismerteti a technikai hátteret, de a lényeg röviden: a kártevő nem közvetlenül kommunikál a vezérlőivel. Helyette a böngészőt beszélteti.

Hogyan manipulálja az msaRAT a Chrome-ot és az Edge-et

A kutatók szerint az msaRAT egy Rust nyelven írt távoli hozzáférésű trójai, amely megtévesztő terjesztési módszerekkel, például szokványos Windows-frissítéseknek álcázott telepítőkkel jut el az áldozatok gépére. Miután települt, a Chrome-ot vagy az Edge-et rejtett, headless (fej nélküli) módban indítja el, így az áldozat soha nem lát megnyíló böngészőablakot. Ezután a Chrome DevTools Protocol (CDP) segítségével – amely egy legitim fejlesztői és automatizálási funkció ezekben a böngészőkben – távolról irányítja a böngésző viselkedését.

A kártevő ezután a parancs- és vezérlőforgalmat WebRTC-kapcsolatokon és például a Twilio TURN relé szolgáltatásán keresztül irányítja, amelyek mind legitim, valós idejű kommunikációra és videohívásokra használt technológiák. Mivel ez a forgalom titkosított, és olyan infrastruktúrán halad át, amelyet számtalan legitim alkalmazás is használ, beleolvad a normál webes tevékenységbe. A hálózati forgalmat ismert kártevő-aláírások vagy szokatlan célkiszolgálók után vizsgáló biztonsági eszközök sokkal nehezebben különböztetik meg ezt a mindennapi böngészőhasználattól, ami pontosan a cél.

A gyakorlatban ez azt jelenti, hogy a fertőzött gép folyamatos, távolról vezérelt csatornát tud fenntartani adatok ellopására és további kompromittálásra, miközben a biztonsági szoftvere semmi riasztóbbat nem lát, mint hogy a Chrome vagy az Edge a szokásos dolgát végzi. Ez jelentős fejlődés a zsarolóvírus-csoportok számára, amelyek hagyományosan könnyebben felderíthető módszerekkel tartották fenn a távoli hozzáférést.

Miért küzdenek itt a hagyományos védelmek

A legtöbb vírusirtó és végpontfelderítő eszköz a rosszindulatú futtatható fájlok, a szokatlan folyamatviselkedés vagy az ismerten rossz IP-címekhez való kapcsolódások észlelésére van hangolva. Az msaRAT mindhármat elkerüli. A rosszindulatú tevékenységet vezérlő folyamat maga a böngésző, egy olyan szoftver, amely szinte minden eszközön jelen van, és alapértelmezésben megbízhatónak számít. A cél infrastruktúra, például a Twilio TURN relé szolgáltatása, legitim és széles körben használt, így annak teljes blokkolása más, nélkülözhetetlen alkalmazásokat is tönkretenne. Mivel pedig a böngésző headless módban fut, nincs látható ablak, sem nyilvánvaló, felhasználó által észlelhető jele, hogy bármi szokatlan történik.

Pontosan ez az oka annak, hogy a biztonsági kutatók a viselkedés- és hálózati szintű észlelést hangsúlyozzák a kizárólag aláírás-alapú vírusirtással szemben. A váratlan headless böngészőfolyamatok, a felhasználói beavatkozás nélkül indított szokatlan kimenő WebRTC-kapcsolatok, vagy a CDP-hez hasonló automatizálási protokollok révén, a várt fejlesztői környezeten kívül indított böngészők észlelése segíthet felismerni az ilyen tevékenységet, még akkor is, ha a kártevő maga elkerüli a hagyományos vizsgálatokat.

Mit jelent ez Ön számára

Az egyéni felhasználók esetében az msaRAT közvetlen fenyegetettsége attól függ, hogy a Chaos zsarolóvírus a lakossági felhasználókat vagy elsősorban a szervezeteket célozza-e – ez utóbbi a gyakoribb minta a zsarolóvírus-csoportoknál. Mindazonáltal az alapul szolgáló technika – a rosszindulatú forgalom legitim böngészőfolyamatokba való elrejtése – egy olyan taktika, amelyet más kártevőcsaládok is nagy valószínűséggel átvesznek, figyelembe véve, hogy mennyire hatékonynak tűnik az észlelés elkerülésében.

A mindennapi felhasználók és az informatikai rendszergazdák számára egyaránt az a gyakorlati tanulság, hogy már nem elég megbízni egy alkalmazásban pusztán azért, mert az jól ismert és legitim. A hamis szoftverfrissítési felszólítások továbbra is gyakori terjesztési módszert jelentenek az ilyen kártevőknél, így a frissítőcsomagok hivatalos forrásból való származásának ellenőrzése fontosabb, mint valaha. A VPN hozzáadhat egy réteg titkosított, zavart hálózati forgalmat, ami megnehezíti a támadók dolgát a kapcsolat elfogásában vagy manipulálásában, ám nem akadályozza meg, hogy a már az eszközön futó kártevő visszaéljen a böngészővel. A védekezés itt inkább a gondos szoftvertisztaságtól, a szokatlan rendszerviselkedés figyelésétől és a biztonsági eszközök naprakészen tartásától függ, hogy felismerjék ezeket az újonnan megjelenő mintákat.

Alkalmazható tanulságok

  • Szoftvereket és operációs rendszer frissítéseket kizárólag a hivatalos gyártói webhelyekről vagy a beépített frissítési mechanizmusokon keresztül töltsön le, soha ne felugró ablakokból vagy harmadik féltől származó telepítőkből.
  • Figyeljen a háttérben futó, váratlan böngészőfolyamatokra, különösen azokra a headless példányokra, amelyeket nem Ön indított el.
  • Tartsa naprakészen a végpontvédelmi szoftvereket, mivel a gyártók folyamatosan fejlesztik az észlelési módszereket, hogy az ilyen viselkedési mutatókat elcsípjék, ahelyett, hogy kizárólag a fájlaláírásokra hagyatkoznának.
  • A szervezeteknek fontolóra kell venniük a böngésző-automatizálási protokollok (mint a CDP) szokatlan használatának és a menedzselt eszközökön megjelenő váratlan WebRTC-kapcsolatoknak a megfigyelését.
  • A VPN-t a többrétegű védelmi stratégia egyik elemének tekintse, amely magában foglalja a végpontvédelmet és az óvatos szoftvertelepítési szokásokat is, nem pedig önálló megoldásként a zsarolóvírusok ellen.

Ahogy a Chaos zsarolóvírus msaRAT eszköze is mutatja, a támadók egyre kreatívabb módokat találnak arra, hogy a szemünk előtt, az általunk már megbízhatónak vélt eszközökkel rejtőzzenek el. Ha tájékozottak maradunk ezekkel a fejlődő technikákkal kapcsolatban, és ennek megfelelően igazítjuk mind személyes szokásainkat, mind a biztonsági eszközeinket, az marad a legmegbízhatóbb módja annak, hogy egy lépéssel előttük járjunk.