ランサムウェアのコマンド＆コントロールの新たな手口

Chaos ランサムウェアの背後にいるグループは、感染マシン上に潜伏するために異例のアプローチを取る「msaRAT」というマルウェアツールを採用しました。一般的なマルウェアのように悪意あるプロセスが直接リモートサーバーと通信するのではなく、msaRATはその役割を正規のブラウザに委ねます。ChromeやMicrosoft Edgeのヘッドレス（不可視のGUIなし）インスタンスを起動し、Chrome DevTools Protocol（CDP）を通じて制御し、すべての外向き通信をブラウザに任せるのです。msaRATのプロセス自体はネットワークに直接触れることは一切なく、ループバックに留まり、つまり同じマシン上で動作するブラウザインスタンスとのみ通信します。

これが重要なのは、セキュリティツールが頼りにする通常の検知ロジックを覆すからです。アナリストや自動防御は通常、見慣れない外部IPアドレスへ接続する不審なプロセスをフラグ付けします。msaRATでは、接続先にアクセスするプロセスが本物で署名付きのブラウザバイナリであり、生成されるトラフィックもありふれた通信に見えるように装われています。

Twilio TURN経由の中継がプライバシーに影響する理由

msaRATが制御するブラウザインスタンスは、単純なC2サーバーに直接接続するわけでもありません。暗号化されたトラフィックをTwilioのTURNインフラストラクチャ経由で中継します。TURNは通常、WebRTC接続がファイアウォールやNATを越えてビデオ通話や音声チャットなどを行うために使われるサービスです。TURN中継トラフィックは暗号化されており、構造的にも正規のWebRTCセッションと同一のため、日々数十億件発生するブラウザベースの通話や会議ツールのネットワークアクティビティに溶け込みます。

これがこの手法のプライバシーとセキュリティの核心的な意味です。日常的な通信を保護するプロトコルやサービスを、悪意ある通信の保護に悪用しているのです。異常なプロトコル、不自然な宛先ドメイン、暗号化されていないビーコン通信を探すネットワーク防御側は、ここでは何のシグナルも見つけられません。トラフィックパターンは、ランサムウェアの操作者が感染エンドポイントと通信しているようには見えず、まるでビデオ通話のようです。

このアプローチは、ランサムウェアや恐喝の攻撃者が「ブラウザをそのまま利用する」方向へ向かう広範なトレンドも反映しています。これは、かつての「環境寄生（Living Off the Land）」戦略――攻撃者が明らかな悪意あるバイナリを投下する代わりに、マシンに最初からある正規のシステムツールを利用する手法――の進化形です。ランサムウェアグループは一貫して、暗号化ペイロードを起爆する前にネットワーク内に長く潜伏できる手法や、ますます増えている純粋なデータ窃取型の恐喝に移行する手法を好んできました。その恐喝モデルは非常に一般的になり、ShinyHuntersによるExact Sciencesへの主張のような事例に見られるように、ファイルの暗号化に加えて、あるいはその代わりに、盗み出した健康データが交渉材料として使われることが定期的に公表されています。

我々にとっての意味

一般の個人ユーザーにとって、msaRATそのものに直接遭遇することはまずありません。これはChaosランサムウェアの操作者がネットワーク侵入と恐喝のために積極的に狙う組織を標的としたツールです。しかし根底にある教訓は広く当てはまります。攻撃者は、悪意あるトラフィックを通常の暗号化されたブラウザアクティビティと見分けがつかないようにすることに長けてきているのです。このことは、ネットワーク監視だけで何を検出できるかという期待値を修正すべきであることを示しています。

もしあなたの組織が侵害の検出を境界トラフィックの検査に大きく依存しているなら、この手の手法は、エンドポイントレベルの可視性――つまり、通信内容だけでなく、マシン上でプロセスが実際に何をしているかを見ること――がますます重要になっていることを思い出させてくれます。別のプロセスによって静かに起動されたヘッドレスブラウザインスタンスは、そのネットワークトラフィックがクリーンに見えても、エンドポイントでは検出可能なイベントです。

日常のユーザーにとっての実用的な教訓は、この特定のマルウェアそのものよりも、それが象徴する環境にあります。ランサムウェアグループは溶け込む手法を絶えず洗練させており、最終的にファイルの暗号化や個人データの漏洩につながる侵害は、通常、フィッシングメール、悪意ある添付ファイル、脆弱な公開サービスといったありふれたものから始まります。そうした初期段階での警戒こそが、msaRATのようなものを下流で決して遭遇しないための最も効果的な防御策であり続けます。

キーポイント

  • Chaosランサムウェアに関連するmsaRATは、C2サーバーと直接通信する代わりに、Chrome DevTools Protocolを介してヘッドレスChromeやEdgeを制御する。
  • マルウェアは暗号化されたC2トラフィックをTwilioのTURNサービス経由で中継し、ビデオ通話のような正規のWebRTCトラフィックに偽装する。
  • この手法は、異常な外向き接続や暗号化されていないビーコンを探す従来のネットワークベース検知を回避するために設計されている。
  • 組織はネットワーク監視とエンドポイント可視性を組み合わせるべきだ。トラフィックがクリーンに見えても、ブラウザプロセス自体やその起動方法が検出可能なシグナルとなるからだ。
  • よりステルス性の高いC2チャネルへの広範なトレンドは、迅速なパッチ適用、フィッシングへの意識啓発、強力なエンドポイント監視が、ランサムウェア侵入が恐喝段階に至る前の防御策として依然として不可欠である理由を浮き彫りにしている。