Een nieuwe wending in ransomware-command-and-control

De groep achter Chaos-ransomware heeft een malwareset genaamd msaRAT in gebruik genomen, die op een ongebruikelijke manier verborgen blijft op geïnfecteerde machines. In plaats van dat het kwaadaardige proces rechtstreeks met een externe server praat – zoals de meeste malware doet – draagt msaRAT die taak over aan een legitieme browser. Het start een headless (onzichtbare, GUI-loze) instantie van Chrome of Microsoft Edge, stuurt die aan via het Chrome DevTools Protocol (CDP), en laat de browser alle uitgaande communicatie afhandelen. Het msaRAT-proces raakt zelf nooit rechtstreeks het netwerk aan; het blijft beperkt tot loopback, wat betekent dat het alleen communiceert met de browserinstantie die op dezelfde machine draait.

Dit is van belang omdat het de gebruikelijke detectielogica van beveiligingstools omkeert. Analisten en geautomatiseerde verdedigingssystemen markeren doorgaans verdachte processen die verbinding maken met onbekende externe IP-adressen. Bij msaRAT is het proces dat de verbinding maakt een echte, ondertekende browserbinary, en het gegenereerde verkeer is verpakt om er als iets normaals uit te zien.

Waarom routering via Twilio TURN belangrijk is voor privacy

De browserinstantie die msaRAT aanstuurt, maakt ook niet zomaar verbinding met een gewone command-and-controlserver. Het stuurt zijn versleutelde verkeer via Twilio's TURN-infrastructuur, een dienst die normaal wordt gebruikt om WebRTC-verbindingen door firewalls en NAT te helpen navigeren, bijvoorbeeld voor videogesprekken en spraakchat. Omdat TURN-relayverkeer versleuteld is en structureel identiek aan legitieme WebRTC-sessies, gaat het op in de netwerkactiviteit die miljarden browsergerelateerde gespreks- en conferentietools dagelijks genereren.

Dit is de kernimplicatie voor privacy en beveiliging van deze techniek: ze maakt gebruik van dezelfde protocollen en diensten die gewone communicatie beschermen, maar nu om kwaadaardige communicatie te beschermen. Netwerkverdedigers die zoeken naar afwijkende protocollen, ongebruikelijke bestemmingsdomeinen of onversleuteld bakenverkeer, vinden hier geen van die signalen. Het verkeerspatroon ziet eruit als een videogesprek, niet als een ransomware-operator die contact opneemt met een geïnfecteerd eindpunt.

Deze aanpak weerspiegelt ook een bredere trend onder ransomware- en afpersingsgroepen richting "living off the browser" – een evolutie van de oudere "living off the land"-strategie waarbij aanvallers legitieme systeemtools gebruiken die al op een machine aanwezig zijn, in plaats van overduidelijke kwaadaardige binaries achter te laten. Ransomwaregroepen hebben consistent een voorkeur getoond voor technieken waarmee ze langer in netwerken kunnen verblijven voordat ze een encryptiepayload afvuren of, steeds vaker, overstappen op pure datadiefstal en afpersing. Dat afpersingsmodel is inmiddels zo gangbaar dat groepen regelmatig slachtoffers openbaar opeisen, zoals te zien was in zaken als de ShinyHunters-claim tegen Exact Sciences, waarbij gestolen gezondheidsgegevens als pressiemiddel werden gebruikt in plaats van, of in aanvulling op, bestandsencryptie.

Wat dit voor jou betekent

Voor de meeste individuele gebruikers is msaRAT zelf niet iets wat je direct tegenkomt; het is een tool gericht op organisaties die Chaos-ransomware-operators actief aanvallen voor netwerkinfiltratie en afpersing. Maar de onderliggende les is breed toepasbaar: aanvallers worden steeds beter in het ononderscheidbaar maken van kwaadaardig verkeer van normale, versleutelde browseractiviteit. Dat zou verwachtingen moeten bijstellen over wat netwerkmonitoring alleen nog kan onderscheppen.

Als jouw organisatie sterk leunt op inspectie van perimeterverkeer om inbreuken te ontdekken, is dit soort techniek een herinnering dat zichtbaarheid op endpointniveau – dus wat processen daadwerkelijk op een machine doen, niet alleen wat ze over de lijn sturen – belangrijker wordt, niet minder. Een headless browserinstantie die stilletjes door een ander proces wordt gestart, is een detecteerbare gebeurtenis op het endpoint, zelfs wanneer het netwerkverkeer er schoon uitziet.

Voor gewone gebruikers is de praktische conclusie minder gericht op deze specifieke malware en meer op de omgeving die het signaleert. Ransomwaregroepen verfijnen continu manieren om op te gaan in de massa, en de inbreuken die uiteindelijk leiden tot versleutelde bestanden of uitgelekte persoonlijke gegevens, beginnen meestal met iets alledaags: een phishingmail, een kwaadaardige bijlage of een kwetsbare, blootgestelde dienst. Waakzaamheid in die beginfase blijft de effectiefste verdediging tegen ooit iets als msaRAT verderop in de keten tegen te komen.

Belangrijkste punten

  • msaRAT, gelinkt aan Chaos-ransomware, stuurt headless Chrome of Edge aan via het Chrome DevTools Protocol, in plaats van rechtstreeks met C2-servers te communiceren.
  • De malware relayt versleuteld command-and-controlverkeer via Twilio's TURN-dienst, waardoor het op legitiem WebRTC-verkeer lijkt, zoals videogesprekken.
  • Deze techniek is ontworpen om traditionele netwerkdetectie te omzeilen die zoekt naar ongebruikelijke uitgaande verbindingen of onversleuteld bakenverkeer.
  • Organisaties moeten netwerkmonitoring combineren met endpointzichtbaarheid, omdat het browserproces zelf en de manier waarop het is gestart een detecteerbaar signaal blijft, zelfs als het netwerkverkeer er schoon uitziet.
  • De bredere trend naar stealthier C2-kanalen onderstreept waarom tijdig patchen, phishingbewustzijn en sterke endpointmonitoring essentiële verdedigingen blijven tegen ransomware-aanvallen voordat ze het afpersingsstadium bereiken.