Nowy zwrot w dowodzeniu i kontroli ransomware

Grupa stojąca za ransomware Chaos przyjęła narzędzie złośliwe o nazwie msaRAT, które stosuje nietypowe podejście do ukrywania się na zainfekowanych maszynach. Zamiast bezpośredniej komunikacji ze zdalnym serwerem, jak robi to większość złośliwego oprogramowania, msaRAT przekazuje to zadanie legalnej przeglądarce. Uruchamia bezgłową (niewidoczną, pozbawioną interfejsu graficznego) instancję Chrome lub Microsoft Edge, steruje nią za pośrednictwem Chrome DevTools Protocol (CDP) i pozwala przeglądarce obsługiwać całą komunikację wychodzącą. Sam proces msaRAT nigdy nie dotyka sieci bezpośrednio; pozostaje ograniczony do pętli zwrotnej (loopback), co oznacza, że komunikuje się wyłącznie z instancją przeglądarki działającą na tym samym komputerze.

To istotne, ponieważ odwraca typową logikę wykrywania, na której polegają narzędzia bezpieczeństwa. Analitycy i zautomatyzowane systemy obrony zwykle oznaczają podejrzane procesy, które łączą się z nieznanymi zewnętrznymi adresami IP. W przypadku msaRAT procesem nawiązującym połączenie jest prawdziwy, podpisany plik binarny przeglądarki, a generowany przez niego ruch jest maskowany tak, aby wyglądał na coś zwyczajnego.

Dlaczego routing przez Twilio TURN ma znaczenie dla prywatności

Kontrolowana przez msaRAT instancja przeglądarki również nie łączy się ze zwykłym serwerem dowodzenia i kontroli. Przekazuje swój zaszyfrowany ruch przez infrastrukturę TURN firmy Twilio – usługę normalnie używaną do pomocy połączeniom WebRTC w pokonywaniu zapór sieciowych i NAT przy rozmowach wideo i czacie głosowym. Ponieważ ruch przekazywany przez TURN jest szyfrowany i strukturalnie identyczny z legalnymi sesjami WebRTC, wtapia się w rodzaj aktywności sieciowej generowanej codziennie przez miliardy połączeń przeglądarkowych i narzędzi konferencyjnych.

To jest sedno implikacji tej techniki dla prywatności i bezpieczeństwa: wykorzystuje ona te same protokoły i usługi, które chronią codzienną komunikację, aby zamiast tego chronić złośliwą komunikację. Obrońcy sieci, szukający nietypowych protokołów, nietypowych domen docelowych czy nieszyfrowanego ruchu typu beacon, nie znajdą tutaj żadnego z tych sygnałów. Schemat ruchu wygląda jak rozmowa wideo, a nie jak operator ransomware meldujący się z zainfekowanym punktem końcowym.

Podejście to odzwierciedla również szerszy trend wśród operatorów ransomware i wymuszeń w kierunku „życia z przeglądarki” – ewolucję starszej strategii „życia z ziemi” (living off the land), w której atakujący wykorzystują legalne narzędzia systemowe już obecne na maszynie, zamiast umieszczać oczywiste złośliwe pliki binarne. Grupy ransomware konsekwentnie preferują techniki, które pozwalają im dłużej pozostawać w sieciach przed uruchomieniem ładunku szyfrującego lub – coraz częściej – przed przejściem do samej kradzieży danych w celu wymuszenia. Ten model wymuszenia stał się na tyle powszechny, że grupy regularnie publicznie ogłaszają swoje ofiary, co widać na przykładzie sprawy ShinyHunters roszczących sobie prawo do danych Exact Sciences, w której skradzione dane zdrowotne posłużyły jako dźwignia zamiast lub oprócz szyfrowania plików.

Co to oznacza dla Ciebie

Dla większości użytkowników indywidualnych samo narzędzie msaRAT nie jest czymś, z czym zetkną się bezpośrednio – jest to narzędzie skierowane przeciwko organizacjom, które operatorzy ransomware Chaos aktywnie atakują w celu włamań sieciowych i wymuszeń. Jednak płynąca z tego szersza lekcja ma zastosowanie ogólne: atakujący stają się coraz lepsi w upodabnianiu złośliwego ruchu do normalnej, zaszyfrowanej aktywności przeglądarki. To powinno zmienić oczekiwania co do tego, co może wychwycić samo monitorowanie sieci.

Jeśli Twoja organizacja w dużym stopniu polega na inspekcji ruchu na brzegu sieci w celu wykrycia włamania, tego rodzaju technika przypomina, że widoczność na poziomie punktu końcowego – czyli informacja o tym, co procesy faktycznie robią na maszynie, a nie tylko co wysyłają przez sieć – staje się coraz ważniejsza, a nie mniej ważna. Bezgłowa instancja przeglądarki po cichu uruchomiona przez inny proces jest zdarzeniem wykrywalnym na punkcie końcowym, nawet gdy jej ruch sieciowy wygląda na czysty.

Dla zwykłych użytkowników praktyczny wniosek dotyczy mniej tego konkretnego złośliwego oprogramowania, a bardziej środowiska, które ono sygnalizuje. Grupy ransomware nieustannie udoskonalają sposoby wtapiania się w tło, a naruszenia, które ostatecznie prowadzą do zaszyfrowanych plików lub wycieków danych osobowych, zwykle zaczynają się od czegoś przyziemnego: e-maila phishingowego, złośliwego załącznika lub podatnej na ataki, ujawnionej usługi. Czujność na tym początkowym etapie pozostaje najskuteczniejszą obroną przed tym, by kiedykolwiek napotkać coś takiego jak msaRAT na dalszym etapie.

Kluczowe wnioski

  • msaRAT, powiązany z ransomware Chaos, steruje bezgłową przeglądarką Chrome lub Edge za pomocą Chrome DevTools Protocol, zamiast komunikować się bezpośrednio z serwerami C2.
  • Złośliwe oprogramowanie przekazuje zaszyfrowany ruch dowodzenia i kontroli przez usługę Twilio TURN, przez co wygląda on jak legalny ruch WebRTC, np. rozmowy wideo.
  • Technika ta została zaprojektowana, aby pokonać tradycyjne metody wykrywania oparte na sieci, które szukają nietypowych połączeń wychodzących lub nieszyfrowanego beaconingu.
  • Organizacje powinny łączyć monitorowanie sieci z widocznością na punktach końcowych, ponieważ sam proces przeglądarki oraz sposób jego uruchomienia pozostają wykrywalnym sygnałem, nawet gdy ruch sieciowy wygląda na czysty.
  • Szerszy trend w kierunku coraz bardziej ukrytych kanałów C2 podkreśla, dlaczego szybkie łatanie luk, świadomość phishingu i solidne monitorowanie punktów końcowych pozostają kluczowymi zabezpieczeniami przed włamaniami ransomware, zanim osiągną one etap wymuszenia.