Un nuovo modo per nascondersi in piena vista

I ricercatori di Cisco Talos hanno scoperto una nuova tecnica del gruppo ransomware Chaos che trasforma il tuo browser web in un canale di comunicazione nascosto. Lo strumento, chiamato msaRAT, è un trojan di accesso remoto scritto in Rust che guida una sessione headless di Chrome o Edge usando il Chrome DevTools Protocol (CDP). Invece di collegarsi direttamente a un server di comando e controllo come fa la maggior parte dei malware, msaRAT instrada il suo traffico attraverso infrastrutture legittime gestite da Cloudflare e Twilio, facendo apparire l'attività dell'attaccante come normale traffico browser anziché come attività di rete dannosa.

Questa scoperta è importante perché rappresenta un cambiamento significativo nel modo in cui i gruppi ransomware eludono il rilevamento. Invece di affidarsi a protocolli personalizzati o domini sospetti che gli strumenti di sicurezza sono addestrati a segnalare, gli operatori del ransomware Chaos utilizzano infrastrutture di cui le aziende si fidano e che usano ogni giorno. Se desideri un approfondimento tecnico su come msaRAT opera all'interno del processo del browser, abbiamo già trattato in dettaglio come il msaRAT del ransomware Chaos si nasconde in Chrome ed Edge.

Come funziona realmente l'attacco

Secondo Cisco Talos, msaRAT è stato scoperto su una macchina Windows compromessa, distribuito come fase preliminare prima del lancio del vero e proprio encryptor ransomware. Si tratta di uno schema comune nelle moderne operazioni ransomware: gli attaccanti stabiliscono prima persistenza e capacità di ricognizione, quindi distribuiscono il payload distruttivo dopo aver mappato la rete e identificato i dati preziosi.

Ciò che distingue msaRAT è l'uso del CDP per controllare un'istanza headless di Chrome o Edge in esecuzione silenziosamente in background. Pilotando un vero processo del browser, il malware può inoltrare traffico cifrato di comando e controllo attraverso l'infrastruttura di relay TURN di Twilio, normalmente utilizzata per applicazioni WebRTC legittime come videochiamate e comunicazioni in tempo reale. Poiché questo traffico viaggia sulle reti di Cloudflare e Twilio e assomiglia al normale segnalamento WebRTC, si confonde con il rumore di fondo dell'attività internet quotidiana. I tradizionali strumenti di monitoraggio di rete che cercano domini noti come malevoli o protocolli insoliti potrebbero semplicemente non segnalarlo.

Si tratta di una forma di "vivere su infrastrutture fidate", una variante della ben nota tattica del "vivere della terra" in cui gli attaccanti utilizzano strumenti di sistema integrati invece di malware personalizzato. Qui, l'infrastruttura fidata non è un binario di sistema, ma il browser stesso e i servizi cloud con cui comunica abitualmente.

Perché questo è importante per aziende e consumatori

Gruppi ransomware come Chaos non si limitano a cifrare i file; spesso esfiltrano prima i dati sensibili, il che significa che documenti dei clienti, informazioni dei dipendenti e documenti aziendali possono essere rubati prima che appaia la richiesta di riscatto. Quando una tecnica come msaRAT consente agli attaccanti di comunicare in modo nascosto per periodi più lunghi senza essere rilevati, aumenta la finestra di opportunità per il furto di dati e il movimento laterale nella rete.

Per i consumatori, il rischio è indiretto ma reale. Se un'azienda con cui fai affari viene compromessa dal ransomware Chaos e il suo canale C2 basato sul browser passa inosservato per settimane, i tuoi dati personali potrebbero essere silenziosamente sottratti prima che qualcuno se ne accorga. Questo fa parte di una tendenza più ampia nelle operazioni ransomware: gli attaccanti investono sempre più in tecniche di evasione che sfruttano la fiducia nei servizi cloud di uso quotidiano, invece di costruire infrastrutture chiaramente malevole facili da inserire in blacklist.

Cosa significa per te

Se sei un amministratore IT o un professionista della sicurezza, questo sviluppo ricorda che i processi del browser headless in esecuzione senza una finestra visibile meritano attenzione. Processi imprevisti di Chrome o Edge generati da script, attività pianificate o processi padre sconosciuti meritano un'indagine, specialmente se comunicano con porte di debug CDP o generano traffico insolito di tipo WebRTC.

Per gli utenti comuni e i titolari di piccole imprese senza un team di sicurezza dedicato, il consiglio pratico riguarda meno il malware specifico e più la difesa a più livelli. Mantieni browser e sistemi operativi aggiornati, limita i privilegi amministrativi e presta attenzione agli strumenti endpoint su cui la tua organizzazione fa affidamento per rilevare anomalie. Segmentare il traffico sensibile e monitorare le connessioni in uscita, anche tramite una VPN affidabile o un servizio di sicurezza di rete, può aggiungere un livello di visibilità che aiuta a cogliere schemi insoliti anche quando il malware cerca di confondersi con il traffico cloud legittimo.

Spunti pratici

  • Monitora la presenza di processi headless imprevisti di Chrome o Edge, in particolare quelli che utilizzano porte di debug remoto associate al CDP.
  • Mantieni aggiornati browser, sistemi operativi e strumenti di rilevamento degli endpoint per intercettare gli indicatori noti legati al ransomware Chaos e a msaRAT.
  • Limita il traffico in uscita dove possibile ed esamina i log per connessioni anomale WebRTC o relay TURN che non corrispondono all'uso aziendale previsto.
  • Informa i team IT su questa tecnica in evoluzione, in modo che gli avvisi non vengano ignorati solo perché il traffico sembra provenire da servizi fidati come Cloudflare o Twilio.

Man mano che i gruppi ransomware continuano a perfezionare i loro metodi di occultamento, mantenersi informati su tecniche come quella usata in questa campagna del ransomware Chaos è una delle migliori difese disponibili. La consapevolezza, unita a un'igiene di base come l'applicazione di patch e il monitoraggio del traffico, resta il modo più affidabile per ridurre l'esposizione a queste minacce in evoluzione.