Il ransomware Chaos trova un nuovo nascondiglio: il tuo browser web

I ricercatori di sicurezza di Cisco Talos hanno scoperto una nuova svolta nel modo in cui opera il gruppo ransomware Chaos. Invece di comunicare direttamente con i propri server di comando e controllo (C2), lo strumento recentemente identificato del gruppo, chiamato msaRAT, prende silenziosamente il controllo di Chrome o Edge su una macchina infetta e utilizza il browser stesso come messaggero. Poiché il traffico appare come una normale attività del browser, gran parte di esso riesce a eludere gli strumenti antivirus e i sistemi di monitoraggio di rete, che sono progettati per rilevare processi standalone sospetti, non il browser che usi ogni giorno.

Questo approccio, talvolta descritto come 'vivere sul browser', è una variante della ben nota tattica del 'vivere sul territorio', in cui gli attaccanti riutilizzano software legittimo già installato su un sistema invece di rilasciare file malware evidenti. In questo caso, gli operatori del ransomware hanno portato l'idea un passo oltre, trasformando un'applicazione affidabile e spesso inserita nella whitelist nel loro canale di comunicazione nascosto. Il nostro precedente approfondimento su come il msaRAT del ransomware Chaos nasconde il traffico C2 nei browser analizza i dettagli tecnici in modo più approfondito, ma la versione breve è semplice: il malware non comunica direttamente con i suoi controllori. Lo fa fare al browser al suo posto.

Come msaRAT manipola Chrome ed Edge

Secondo i ricercatori, msaRAT è un trojan di accesso remoto basato su Rust che arriva sulle macchine vittima attraverso metodi di distribuzione ingannevoli, inclusi programmi di installazione camuffati da normali aggiornamenti di Windows. Una volta installato, avvia Chrome o Edge in modalità headless nascosta, in modo che la vittima non veda mai aprirsi una finestra del browser. Da lì, utilizza il Chrome DevTools Protocol (CDP), una funzionalità legittima integrata in questi browser per sviluppatori e strumenti di automazione, per controllare a distanza il comportamento del browser.

Il malware instrada quindi il proprio traffico di comando e controllo attraverso connessioni WebRTC e servizi come il relay TURN di Twilio, entrambi tecnologie legittime utilizzate per la comunicazione in tempo reale e le videochiamate. Poiché questo traffico è crittografato e viaggia attraverso infrastrutture che innumerevoli applicazioni legittime utilizzano a loro volta, si confonde con la normale attività web. Gli strumenti di sicurezza che ispezionano il traffico di rete alla ricerca di firme malware note o server di destinazione insoliti fanno molta più fatica a separarlo dall'uso quotidiano del browser, il che è esattamente lo scopo.

L'effetto pratico è che una macchina infetta può mantenere un canale persistente e controllato a distanza per il furto di dati e ulteriori compromissioni, mentre il suo software di sicurezza non vede nulla di più allarmante di Chrome o Edge che fanno ciò che fanno normalmente. Si tratta di un'evoluzione significativa per i gruppi ransomware, che tradizionalmente si sono affidati a metodi più rilevabili per mantenere l'accesso remoto.

Perché le difese tradizionali faticano in questo scenario

La maggior parte degli strumenti antivirus e di rilevamento degli endpoint è configurata per individuare eseguibili dannosi, comportamenti insoliti dei processi o connessioni a indirizzi IP notoriamente malevoli. msaRAT elude tutti e tre. Il processo che guida l'attività malevola è il browser stesso, un software presente su quasi tutti i dispositivi e considerato affidabile per impostazione predefinita. L'infrastruttura di destinazione, servizi come il relay TURN di Twilio, è legittima e ampiamente utilizzata, per cui bloccarla completamente finirebbe per compromettere altre applicazioni su cui le persone fanno affidamento. E poiché il browser viene eseguito in modalità headless, non c'è alcuna finestra visibile o segnale evidente per l'utente che qualcosa di insolito stia accadendo.

È proprio per questo che i ricercatori di sicurezza sottolineano l'importanza del rilevamento comportamentale e a livello di rete, anziché affidarsi esclusivamente all'antivirus basato su firme. Individuare processi browser headless inattesi, sessioni WebRTC in uscita anomale avviate senza interazione dell'utente, o browser lanciati tramite protocolli di automazione come CDP al di fuori dei contesti di sviluppo previsti, può aiutare a segnalare questo tipo di attività anche quando il malware stesso elude la scansione tradizionale.

Cosa significa per te

Per i singoli utenti, l'esposizione diretta a msaRAT dipende dal fatto che il ransomware Chaos prenda di mira i consumatori o si concentri principalmente sulle organizzazioni, il che tende a essere lo schema più comune per i gruppi ransomware. Detto questo, la tecnica sottostante, nascondere il traffico dannoso all'interno di processi browser legittimi, è una tattica che altre famiglie di malware probabilmente adotteranno nel tempo, data la sua evidente efficacia nell'eludere il rilevamento.

La lezione pratica per gli utenti comuni e per gli amministratori IT è che fidarsi di un'applicazione solo perché è nota e legittima non è più sufficiente. I falsi prompt di aggiornamento software rimangono un metodo di distribuzione comune per questo tipo di malware, quindi verificare che i programmi di installazione degli aggiornamenti provengano direttamente da fonti ufficiali è più importante che mai. Una VPN può aggiungere un livello di traffico di rete crittografato e offuscato che rende più difficile per gli attaccanti intercettare o manipolare la tua connessione, ma non impedirà a un malware già in esecuzione sul tuo dispositivo di abusare del tuo stesso browser. La difesa in questo caso dipende più da un'attenta igiene del software, dal monitoraggio di comportamenti anomali del sistema e dal mantenere aggiornati gli strumenti di sicurezza per riconoscere questi schemi emergenti.

Consigli pratici

  • Scarica software e aggiornamenti del sistema operativo solo direttamente dai siti web ufficiali dei fornitori o dai meccanismi di aggiornamento integrati, mai da pop-up o programmi di installazione di terze parti.
  • Fai attenzione ai processi del browser in esecuzione in background in modo imprevisto, in particolare le istanze headless che non corrispondono a nulla di ciò che hai aperto.
  • Mantieni aggiornato il software di sicurezza degli endpoint, poiché i fornitori stanno adattando attivamente i metodi di rilevamento per individuare indicatori comportamentali come questo, anziché basarsi esclusivamente sulle firme dei file.
  • Le organizzazioni dovrebbero prendere in considerazione il monitoraggio di usi insoliti dei protocolli di automazione del browser come CDP e di connessioni WebRTC inaspettate sui dispositivi gestiti.
  • Considera una VPN come un elemento di una strategia di difesa a più livelli che includa anche la protezione degli endpoint e abitudini prudenti nell'installazione del software, non come una soluzione autonoma contro il ransomware.

Come dimostra lo strumento msaRAT del ransomware Chaos, gli attaccanti trovano modi sempre più creativi per nascondersi in piena vista utilizzando strumenti di cui già ci fidiamo. Rimanere informati su queste tecniche in evoluzione e adattare di conseguenza sia le abitudini personali che gli strumenti di sicurezza resta il modo più affidabile per anticiparli.