Chaos Ransomware Temukan Tempat Persembunyian Baru: Peramban Web Anda

Peneliti keamanan di Cisco Talos mengungkap modus baru dalam cara kelompok ransomware Chaos beroperasi. Alih-alih berkomunikasi langsung dengan server command-and-control (C2) mereka, alat baru yang diidentifikasi kelompok ini, bernama msaRAT, diam-diam mengambil alih Chrome atau Edge pada mesin yang terinfeksi dan menggunakan peramban itu sendiri sebagai perantara. Karena lalu lintasnya tampak seperti aktivitas peramban biasa, sebagian besar lolos dari alat antivirus dan sistem pemantauan jaringan yang dibangun untuk menandai proses mandiri yang mencurigakan, bukan peramban yang Anda gunakan setiap hari.

Pendekatan ini, yang kadang-kadang disebut sebagai 'living off the browser,' merupakan variasi dari taktik yang sudah dikenal luas, 'living off the land,' di mana penyerang memanfaatkan ulang perangkat lunak sah yang sudah terpasang di sistem alih-alih meletakkan file malware yang mencolok. Dalam kasus ini, operator ransomware membawa ide itu selangkah lebih maju dengan mengubah aplikasi tepercaya yang sering masuk daftar putih menjadi saluran komunikasi rahasia mereka. Liputan kami sebelumnya tentang bagaimana msaRAT ransomware Chaos menyembunyikan lalu lintas C2 di dalam peramban menguraikan mekanisme teknisnya secara lebih rinci, namun versi singkatnya sederhana: malware tidak berbicara sendiri kepada pengendalinya. Malware memaksa peramban yang melakukannya.

Bagaimana msaRAT Memanipulasi Chrome dan Edge

Menurut para peneliti, msaRAT adalah trojan akses jarak jauh berbasis Rust yang masuk ke mesin korban melalui metode pengiriman yang menipu, termasuk penginstal yang disamarkan sebagai pembaruan Windows rutin. Setelah terpasang, ia meluncurkan Chrome atau Edge dalam mode headless tersembunyi sehingga korban tidak pernah melihat jendela peramban terbuka. Dari sana, ia menggunakan Chrome DevTools Protocol (CDP), fitur sah yang tertanam di dalam peramban ini untuk pengembang dan alat otomatisasi, untuk mengendalikan perilaku peramban dari jarak jauh.

Malware kemudian mengarahkan lalu lintas command-and-control-nya melalui koneksi WebRTC dan layanan seperti Twilio TURN relay, yang keduanya merupakan teknologi sah yang digunakan untuk komunikasi waktu nyata dan panggilan video. Karena lalu lintas ini terenkripsi dan melewati infrastruktur yang juga digunakan oleh tak terhitung aplikasi sah, lalu lintas ini menyatu dengan aktivitas web normal. Alat keamanan yang memeriksa lalu lintas jaringan untuk mencari tanda tangan malware yang dikenal atau server tujuan yang tidak biasa jauh lebih kesulitan memisahkan ini dari penggunaan peramban sehari-hari, dan itulah tujuan utamanya.

Dampak praktisnya adalah mesin yang terinfeksi dapat mempertahankan saluran persisten yang dikendalikan dari jarak jauh untuk pencurian data dan kompromi lebih lanjut, sementara perangkat lunak keamanannya hanya melihat Chrome atau Edge melakukan apa yang biasa dilakukannya. Ini adalah evolusi yang berarti bagi kelompok ransomware, yang sebelumnya mengandalkan metode yang lebih mudah terdeteksi untuk menjaga akses jarak jauh.

Mengapa Pertahanan Tradisional Kesulitan di Sini

Sebagian besar alat antivirus dan deteksi titik akhir disetel untuk menemukan executable berbahaya, perilaku proses yang tidak biasa, atau koneksi ke alamat IP buruk yang dikenal. msaRAT mengelak dari ketiganya. Proses yang mendorong aktivitas berbahaya adalah peramban itu sendiri, perangkat lunak yang ada di hampir setiap perangkat dan dipercaya secara default. Infrastruktur tujuan, layanan seperti Twilio TURN relay, sah dan digunakan secara luas, sehingga memblokirnya sepenuhnya akan merusak aplikasi lain yang diandalkan orang. Dan karena peramban berjalan headless, tidak ada jendela yang terlihat atau tanda yang jelas bagi pengguna bahwa sesuatu yang tidak biasa sedang terjadi.

Inilah tepatnya mengapa peneliti keamanan menekankan deteksi berbasis perilaku dan tingkat jaringan daripada sekadar antivirus berbasis tanda tangan. Mendeteksi proses peramban headless yang tak terduga, sesi WebRTC keluar yang tidak biasa yang dimulai tanpa interaksi pengguna, atau peramban yang diluncurkan melalui protokol otomatisasi seperti CDP di luar konteks pengembangan yang diharapkan, dapat membantu menandai aktivitas semacam ini meskipun malware itu sendiri lolos dari pemindaian tradisional.

Apa Artinya Ini Bagi Anda

Bagi pengguna individu, paparan langsung terhadap msaRAT bergantung pada apakah ransomware Chaos menargetkan konsumen atau terutama berfokus pada organisasi, yang cenderung menjadi pola yang lebih umum untuk kelompok ransomware. Meski begitu, teknik yang mendasari, menyembunyikan lalu lintas berbahaya di dalam proses peramban yang sah, adalah taktik yang kemungkinan akan diadopsi oleh keluarga malware lainnya seiring waktu mengingat betapa efektifnya teknik ini dalam menghindari deteksi.

Pelajaran praktis bagi pengguna sehari-hari dan administrator TI adalah bahwa memercayai aplikasi hanya karena aplikasi itu terkenal dan sah tidak lagi cukup. Permintaan pembaruan perangkat lunak palsu tetap menjadi metode pengiriman umum untuk malware jenis ini, jadi memverifikasi bahwa penginstal pembaruan berasal langsung dari sumber resmi menjadi lebih penting dari sebelumnya. VPN dapat menambahkan lapisan lalu lintas jaringan terenkripsi yang dikaburkan sehingga lebih sulit bagi penyerang untuk mencegat atau memanipulasi koneksi Anda, tetapi VPN tidak akan menghentikan malware yang sudah berjalan di perangkat Anda untuk menyalahgunakan peramban Anda sendiri. Pertahanan di sini lebih bergantung pada kebersihan perangkat lunak yang hati-hati, pemantauan perilaku sistem yang tidak biasa, dan menjaga alat keamanan tetap diperbarui untuk mengenali pola-pola yang muncul ini.

Hal-Hal yang Dapat Ditindaklanjuti

  • Hanya unduh pembaruan perangkat lunak dan sistem operasi langsung dari situs web vendor resmi atau mekanisme pembaruan bawaan, jangan pernah dari pop-up atau penginstal pihak ketiga.
  • Waspadai proses peramban tak terduga yang berjalan di latar belakang, terutama instance headless yang tidak sesuai dengan apa pun yang Anda buka.
  • Selalu perbarui perangkat lunak keamanan titik akhir, karena vendor secara aktif menyesuaikan metode deteksi untuk menangkap indikator perilaku seperti ini alih-alih hanya mengandalkan tanda tangan file.
  • Organisasi sebaiknya mempertimbangkan pemantauan untuk penggunaan protokol otomatisasi peramban yang tidak biasa seperti CDP dan koneksi WebRTC yang tidak terduga pada perangkat yang dikelola.
  • Perlakukan VPN sebagai salah satu bagian dari strategi pertahanan berlapis yang juga mencakup perlindungan titik akhir dan kebiasaan pemasangan perangkat lunak yang berhati-hati, bukan solusi tunggal melawan ransomware.

Seperti yang ditunjukkan oleh alat msaRAT ransomware Chaos, penyerang semakin kreatif menemukan cara untuk bersembunyi di tempat yang terang menggunakan alat yang sudah kita percayai. Tetap mengikuti informasi tentang teknik yang terus berkembang ini, dan menyesuaikan kebiasaan pribadi serta perangkat keamanan yang sesuai, tetap menjadi cara paling andal untuk tetap selangkah lebih maju.