ありふれた場所に潜む新たな手口

Cisco Talosの研究者は、Chaosランサムウェアグループがユーザー自身のWebブラウザを隠密通信チャネルに変える新たな手口を発見しました。msaRATと呼ばれるこのツールは、Rustで書かれたリモートアクセス型トロイの木馬で、Chrome DevTools Protocol（CDP）を使ってヘッドレス状態のChromeまたはEdgeセッションを操作します。大半のマルウェアのように直接C2サーバーに接続するのではなく、msaRATはCloudflareやTwilioが運用する正規のインフラ経由でトラフィックを中継するため、攻撃者の活動は悪意のあるネットワーク通信ではなく、通常のブラウザトラフィックのように見えます。

この発見が重要なのは、ランサムウェアグループが検知を逃れる方法に明確な変化が起きていることを示しているからです。セキュリティツールが検出するよう訓練されている独自プロトコルや不審なドメインに頼るのではなく、Chaosランサムウェアのオペレーターは、企業が日々信頼して利用するインフラに寄生しているのです。msaRATがブラウザプロセス内部でどのように動作するかについて、より深い技術的な解説が必要であれば、以前に詳述した「ChaosランサムウェアのmsaRATがChromeとEdgeに潜伏する仕組み」もご覧ください。

攻撃の実際の仕組み

Cisco Talosによると、msaRATは侵害されたWindowsマシン上で発見され、実際のランサムウェア暗号化プログラムが実行される前段階として展開されていました。これは現代のランサムウェア攻撃でよく見られるパターンです。攻撃者はまず永続化と偵察の能力を確保し、ネットワークを調査して重要データを特定した後に破壊的なペイロードを展開します。

msaRATを際立たせているのは、CDPを使ってバックグラウンドで静かに動作するChromeまたはEdgeのヘッドレスインスタンスを制御する点です。実在のブラウザプロセスをあやつることで、このマルウェアは、通常はビデオ通話やリアルタイム通信といった正規のWebRTCアプリケーションで利用されるTwilioのTURN中継インフラを通じて、暗号化されたC2トラフィックを中継することができます。このトラフィックはCloudflareやTwilioのネットワーク上を流れ、通常のWebRTCシグナリングと似ているため、日常のインターネット活動のバックグラウンドノイズに紛れ込みます。既知の悪性ドメインや異常なプロトコルを探す従来のネットワーク監視ツールでは、まったく検出されない可能性があります。

これは「信頼できるインフラに寄生する」手法であり、攻撃者が独自のマルウェアではなくOS標準のツールを悪用する、よく知られた「環境寄生型（Living off the Land）」戦術の派生形です。ここでの信頼できるインフラとはシステムバイナリではなく、ブラウザそのものと、ブラウザが普段から通信しているクラウドサービスのことです。

企業と一般ユーザーにとって重要な理由

Chaosのようなランサムウェアグループは、単にファイルを暗号化するだけではありません。多くの場合、まず機密データを外部に持ち出します。つまり、身代金要求の通知が表示される前に、顧客記録や従業員情報、ビジネス文書が盗まれている可能性があるのです。msaRATのような手法により、攻撃者が検知されずに長時間ひそかに通信できると、データ窃取やネットワーク内での水平移動の機会が増大します。

一般消費者の場合、リスクは間接的ではありますが現実に存在します。取引先企業がChaosランサムウェアに感染し、ブラウザベースのC2チャネルが数週間も検知されなければ、誰も気づかぬうちにあなたの個人情報が静かに吸い出されるかもしれません。これはランサムウェア運用の大きなトレンドの一環です。攻撃者は、簡単にブラックリスト入りするわかりやすい悪性インフラを構築するのではなく、日常的に使われるクラウドサービスへの信頼を悪用する回避テクニックにますます投資しているのです。

あなたにとっての意味

IT管理者やセキュリティ専門家であれば、今回の事案は、可視ウィンドウなしで動作するヘッドレスブラウザプロセスこそ精査が必要だということを再認識させるものです。スクリプトやスケジュールされたタスク、見慣れない親プロセスによって生成された予期せぬChromeやEdgeのプロセスは、特にCDPデバッグポートと通信していたり、通常とは異なるWebRTC風のトラフィックを生み出している場合、調査に値します。

専任のセキュリティチームを持たない一般ユーザーや中小企業経営者にとって、実践すべき教訓は、特定のマルウェアに注目するというよりも、多層防御の重要性にあります。ブラウザとOSを常に最新の状態に保ち、管理者権限を制限し、異常を検知するために頼っているエンドポイントツールに注意を払いましょう。信頼できるVPNやネットワークセキュリティサービスを利用するなどして、機密性の高いトラフィックを分離し、外向きの接続を監視することで、マルウェアが正規のクラウドトラフィックに紛れ込もうとしても、異常なパターンを捕捉できる可視性の層を追加できます。

今すぐ実践できる対策

  • 予期せぬヘッドレスChromeまたはEdgeプロセス、特にCDPに関連するリモートデバッグポートを使用しているものを監視する。
  • ブラウザ、OS、エンドポイント検出ツールを常に最新の状態に保ち、ChaosランサムウェアやmsaRATに関連する既知の痕跡を捕捉する。
  • 可能な限り外向きのトラフィックを制限し、業務上の想定と一致しない異常なWebRTCやTURNリレー接続のログを確認する。
  • ITチームにこの進化した手口を教育し、トラフィックがCloudflareやTwilioなど信頼できるサービスからのものに見えるというだけでアラートを無視しないようにする。

ランサムウェアグループは隠蔽方法を洗練させ続けていますが、今回のChaosランサムウェアキャンペーンで使われたような手口について情報をアップデートし続けることが、利用可能な最善の防御策のひとつです。パッチ適用とトラフィック監視のような基本的な衛生管理に、認識を組み合わせることが、こうした進化する脅威への露出を減らす最も信頼できる方法であり続けます。