Una nuova svolta nel comando e controllo ransomware

Il gruppo dietro il ransomware Chaos ha adottato uno strumento malware chiamato msaRAT che adotta un approccio insolito per rimanere nascosto sulle macchine infette. Invece di far comunicare direttamente il proprio processo malevolo con un server remoto, come fa la maggior parte del malware, msaRAT affida questo compito a un browser legittimo. Avvia un'istanza headless (invisibile, senza interfaccia grafica) di Chrome o Microsoft Edge, la controlla tramite il Chrome DevTools Protocol (CDP) e lascia che sia il browser a gestire tutta la comunicazione in uscita. Il processo msaRAT stesso non tocca mai direttamente la rete; rimane confinato al loopback, il che significa che comunica solo con l'istanza del browser in esecuzione sulla stessa macchina.

Questo è rilevante perché inverte la logica di rilevamento su cui si basano normalmente gli strumenti di sicurezza. Analisti e difese automatiche solitamente segnalano processi sospetti che si connettono a indirizzi IP esterni sconosciuti. Con msaRAT, il processo che effettua la connessione è un vero binario di browser firmato, e il traffico che genera è camuffato per sembrare qualcosa di ordinario.

Perché il routing attraverso Twilio TURN è importante per la privacy

L'istanza del browser controllata da msaRAT non si connette neppure a un normale server di comando e controllo. Inoltra il suo traffico crittografato attraverso l'infrastruttura TURN di Twilio, un servizio normalmente utilizzato per aiutare le connessioni WebRTC ad attraversare firewall e NAT per cose come videochiamate e chat vocali. Poiché il traffico relay TURN è crittografato e strutturalmente identico a sessioni WebRTC legittime, si confonde con il tipo di attività di rete che miliardi di chiamate e strumenti di conferenza basati su browser generano ogni giorno.

Questa è la principale implicazione per la privacy e la sicurezza della tecnica: sfrutta gli stessi protocolli e servizi che proteggono le comunicazioni quotidiane per proteggere invece quelle malevole. I difensori di rete che cercano protocolli anomali, domini di destinazione insoliti o traffico beacon non crittografato non troveranno alcuno di questi segnali qui. Il pattern di traffico assomiglia a una videochiamata, non a un operatore ransomware che effettua il check-in con un endpoint infetto.

Questo approccio riflette anche una tendenza più ampia tra gli operatori di ransomware ed estorsione verso il "living off the browser", un'evoluzione della precedente strategia "living off the land" in cui gli aggressori utilizzano strumenti di sistema legittimi già presenti su una macchina invece di rilasciare binari malevoli evidenti. I gruppi ransomware hanno costantemente mostrato una preferenza per tecniche che consentono loro di rimanere più a lungo nelle reti prima di far esplodere un payload di crittografia o, sempre più spesso, di passare alla pura estorsione basata sul furto di dati. Questo modello estorsivo è diventato abbastanza comune che i gruppi rivendicano regolarmente le vittime pubblicamente, come visto in casi come le rivendicazioni di ShinyHunters contro Exact Sciences, in cui i dati sanitari rubati sono stati usati come leva anziché, o in aggiunta, alla crittografia dei file.

Cosa significa per te

Per la maggior parte degli utenti individuali, msaRAT in sé non è qualcosa che incontrerai direttamente; è uno strumento mirato alle organizzazioni che gli operatori del ransomware Chaos stanno attivamente prendendo di mira per intrusioni di rete ed estorsioni. Ma la lezione di fondo si applica in generale: gli aggressori stanno diventando più bravi a rendere il traffico malevolo indistinguibile dalla normale attività crittografata del browser. Questo dovrebbe ricalibrare le aspettative su ciò che il solo monitoraggio di rete può intercettare.

Se la tua organizzazione fa molto affidamento sull'ispezione del traffico perimetrale per rilevare compromissioni, questo tipo di tecnica ricorda che la visibilità a livello di endpoint, ovvero ciò che i processi stanno effettivamente facendo su una macchina piuttosto che solo ciò che inviano in rete, sta diventando più importante, non meno. Un'istanza di browser headless avviata silenziosamente da un altro processo è un evento rilevabile a livello di endpoint anche quando il suo traffico di rete appare pulito.

Per gli utenti comuni, il messaggio pratico è meno su questo specifico malware e più sull'ambiente che segnala. I gruppi ransomware stanno continuamente perfezionando modi per mimetizzarsi, e le compromissioni che alla fine portano a file crittografati o dati personali trapelati di solito iniziano con qualcosa di banale: un'email di phishing, un allegato malevolo o un servizio vulnerabile esposto. La vigilanza in quella fase iniziale rimane la difesa più efficace contro l'incontrare mai qualcosa come msaRAT più a valle.

Punti chiave

  • msaRAT, legato al ransomware Chaos, controlla Chrome o Edge headless tramite il Chrome DevTools Protocol invece di comunicare direttamente con i server C2.
  • Il malware inoltra il traffico crittografato di comando e controllo attraverso il servizio TURN di Twilio, facendolo assomigliare al traffico WebRTC legittimo come le videochiamate.
  • Questa tecnica è progettata per eludere il rilevamento tradizionale basato sulla rete che cerca connessioni in uscita insolite o beacon non crittografati.
  • Le organizzazioni dovrebbero affiancare al monitoraggio di rete la visibilità sugli endpoint, poiché il processo del browser stesso, e il modo in cui è stato avviato, rimane un segnale rilevabile anche quando il suo traffico appare pulito.
  • La tendenza più ampia verso canali C2 più furtivi sottolinea perché l'applicazione tempestiva di patch, la consapevolezza del phishing e un forte monitoraggio degli endpoint rimangono difese essenziali contro le intrusioni ransomware prima che raggiungano la fase di estorsione.