Chaosランサムウェア、新たな潜伏先を発見：それはあなたのWebブラウザ

Cisco Talosのセキュリティ研究者が、Chaosランサムウェアグループの運用手法における新たな展開を発見した。このグループが新たに特定した「msaRAT」と呼ばれるツールは、コマンド＆コントロール（C2）サーバーと直接通信するのではなく、感染したマシン上のChromeまたはEdgeを静かに乗っ取り、ブラウザ自体をメッセンジャーとして利用する。このトラフィックは通常のブラウザ活動のように見えるため、不審なスタンドアロンプロセスを検出するよう作られたアンチウイルスツールやネットワーク監視システムの多くをすり抜けてしまう。日常的に使うブラウザが悪用されているとは、誰も疑わないのだ。

「ブラウザを拠り所に生きる（living off the browser）」とも表現されるこの手法は、既知の「土地を拠り所に生きる（living off the land）」戦術のバリエーションである。これは、明白なマルウェアファイルを投入する代わりに、システムに既にインストールされている正規のソフトウェアを攻撃者が流用するというものだ。今回のケースでは、ランサムウェアの運用者たちはこのアイデアをさらに一歩進め、信頼され、頻繁にホワイトリスト登録されているアプリケーションを、秘密の通信チャネルへと変貌させた。ChaosランサムウェアのmsaRATがどのようにC2トラフィックをブラウザに隠蔽するかに関する以前の記事では、技術的な仕組みをより詳細に解説しているが、要するにシンプルな話だ。マルウェアは自らコントローラーと通信するのではなく、ブラウザにそれを代行させるのである。

msaRATがChromeとEdgeを操作する仕組み

研究者によると、msaRATはRustベースのリモートアクセス型トロイの木馬であり、正規のWindowsアップデートを装ったインストーラーなどの偽装された配信方法を通じて被害者のマシンに侵入する。一旦インストールされると、ChromeまたはEdgeを隠れたヘッドレスモードで起動するため、被害者がブラウザウィンドウの起動を目にすることは決してない。そこから、開発者や自動化ツール向けにこれらのブラウザに組み込まれた正規の機能であるChrome DevTools Protocol（CDP）を使用し、ブラウザの動作を遠隔操作する。

その後、マルウェアはコマンド＆コントロールのトラフィックをWebRTC接続やTwilioのTURNリレーなどのサービスを介してルーティングする。これらはいずれもリアルタイム通信やビデオ通話に使用される正規の技術である。このトラフィックは暗号化されており、無数の正規アプリケーションも利用するインフラストラクチャを経由するため、通常のWeb活動に溶け込んでしまう。既知のマルウェアシグネチャや異常な宛先サーバーを探してネットワークトラフィックを検査するセキュリティツールは、これを日常的なブラウザ利用と区別することがはるかに困難になる。それがまさに、この手法の狙いなのだ。

実際的な効果として、感染したマシンは、データ窃取や更なる侵害のための永続的でリモート制御されたチャネルを維持できる。その間、セキュリティソフトウェアが認識するのは、ChromeやEdgeが通常通り動作している以上の警戒すべきものではない。これはランサムウェアグループにとって意味のある進化である。彼らは伝統的に、リモートアクセスを維持するためにより検出されやすい方法に依存してきたからだ。

従来の防御策が苦戦する理由

ほとんどのアンチウイルスやエンドポイント検出ツールは、悪意のある実行ファイル、異常なプロセス動作、既知の悪質なIPアドレスへの接続を検出するように調整されている。msaRATはこの3つ全てを回避するのだ。悪意のある活動を引き起こしているプロセスはブラウザ自体であり、ほぼ全てのデバイスに存在し、デフォルトで信頼されているソフトウェアだ。宛先のインフラストラクチャであるTwilioのTURNリレーなどのサービスは正当で広く利用されているため、それを全面的にブロックすれば、人々が依存している他のアプリケーションを破壊してしまうだろう。そして、ブラウザはヘッドレスで動作しているため、異常が発生していることを示す目に見えるウィンドウや、ユーザーが気付く明らかな兆候は存在しない。

これこそが、セキュリティ研究者がシグネチャベースのアンチウイルス単体ではなく、動作とネットワークレベルの検出を重視する理由である。予期せぬヘッドレスブラウザプロセス、ユーザー操作なしに開始された異常な送信WebRTCセッション、予想される開発コンテキスト外でのCDPのような自動化プロトコルを介して起動されたブラウザなどを検出することは、マルウェア自体が従来のスキャンを回避する場合でも、この種の活動にフラグを立てるのに役立つ。

これが意味すること

個人ユーザーにとって、msaRATへの直接的な露出は、Chaosランサムウェアが消費者を標的にするのか、それとも主に組織に焦点を当てるのかに依存する。後者はランサムウェアグループにとってより一般的なパターンである傾向がある。とはいえ、悪意のあるトラフィックを正規のブラウザプロセス内に隠蔽するという基盤となるテクニックは、検出回避に非常に効果的であるように見えることから、他のマルウェアファミリーも時間の経過とともに採用する可能性が高い戦術である。

日常的なユーザーとIT管理者の双方にとって実際的な教訓は、アプリケーションが広く知られ正当であるというだけの理由でそれを信頼することは、もはや十分ではないということだ。偽のソフトウェアアップデートプロンプトは、この種のマルウェアにとって依然として一般的な配信方法であるため、アップデートインストーラーが公式ソースから直接提供されたものであることを確認することが、これまで以上に重要になる。VPNは、攻撃者が接続を傍受したり操作したりするのをより困難にする、暗号化されて難読化されたネットワークトラフィックの層を追加できるが、既にデバイス上で実行されているマルウェアが自身のブラウザを悪用するのを止めることはできない。ここでの防御は、注意深いソフトウェア衛生、異常なシステム動作の監視、そしてこれらの新たなパターンを認識するためにセキュリティツールを最新の状態に保つことにより依存している。

実践的な対策

  • ソフトウェアとOSのアップデートは、公式ベンダーのWebサイトまたは組み込みのアップデートメカニズムからのみ直接ダウンロードし、ポップアップやサードパーティのインストーラーからは決して行わないこと。
  • バックグラウンドで実行されている予期しないブラウザプロセス、特に自分が開いたものに対応しないヘッドレスインスタンスに注意すること。
  • エンドポイントセキュリティソフトウェアを最新の状態に保つこと。ベンダーはファイルシグネチャのみに依存するのではなく、このような行動インジケーターを認識するために検出方法を積極的に適応させているためである。
  • 組織は、管理対象デバイス上でのCDPなどのブラウザ自動化プロトコルの異常な使用や予期しないWebRTC接続を監視することを検討すべきである。
  • VPNは、エンドポイント保護や慎重なソフトウェアインストール習慣も含む多層防御戦略の一部として扱い、ランサムウェアに対する単独の修正策としては扱わないこと。

ChaosランサムウェアのmsaRATツールが示すように、攻撃者は私たちが既に信頼しているツールを使って、見えやすい場所に隠れる創造的な方法をますます見つけ出している。これらの進化するテクニックについて情報を入手し続け、個人の習慣とセキュリティツールの両方をそれに応じて適応させることが、彼らの先を行くための最も信頼できる方法であり続ける。