Nowy sposób ukrywania się na widoku

Badacze Cisco Talos odkryli nową technikę grupy ransomware Chaos, która zamienia Twoją przeglądarkę w ukryty kanał komunikacji. Narzędzie o nazwie msaRAT to trojan zdalnego dostępu napisany w języku Rust, który steruje bezgłową sesją Chrome lub Edge przy użyciu protokołu Chrome DevTools (CDP). Zamiast łączyć się bezpośrednio z serwerem command-and-control, jak robi to większość złośliwego oprogramowania, msaRAT kieruje swój ruch przez legalną infrastrukturę Cloudflare i Twilio, sprawiając, że aktywność atakującego wygląda jak zwykły ruch przeglądarki, a nie złośliwe działanie sieciowe.

To odkrycie ma znaczenie, ponieważ stanowi istotną zmianę w sposobie, w jaki grupy ransomware unikają wykrycia. Zamiast polegać na niestandardowych protokołach lub podejrzanych domenach, które narzędzia bezpieczeństwa są nauczone flagować, operatorzy ransomware Chaos korzystają z infrastruktury, której firmy ufają i z której korzystają na co dzień. Jeśli chcesz poznać głębszy techniczny podział działania msaRAT wewnątrz samego procesu przeglądarki, opisaliśmy wcześniej bardziej szczegółowo, jak msaRAT ransomware’u Chaos ukrywa się w Chrome i Edge.

Jak naprawdę przebiega atak

Według Cisco Talos, msaRAT został odkryty na przejętym komputerze z systemem Windows, wdrożony jako etap poprzedzający uruchomienie właściwego szyfratora ransomware. To typowy schemat we współczesnych operacjach ransomware: atakujący najpierw zapewniają sobie trwałość i możliwości rozpoznania, a następnie wdrażają destrukcyjny ładunek, gdy już zmapują sieć i zidentyfikują wartościowe dane.

To, co wyróżnia msaRAT, to wykorzystanie CDP do kontrolowania bezgłowej instancji Chrome lub Edge działającej cicho w tle. Sterując prawdziwym procesem przeglądarki, złośliwe oprogramowanie może przekazywać zaszyfrowany ruch command-and-control przez infrastrukturę przekaźnikową TURN firmy Twilio, która zwykle służy do legalnych zastosowań WebRTC, takich jak wideorozmowy i komunikacja w czasie rzeczywistym. Ponieważ ten ruch korzysta z sieci Cloudflare i Twilio i przypomina normalną sygnalizację WebRTC, wtapia się w szum codziennej aktywności internetowej. Tradycyjne narzędzia do monitorowania sieci, które szukają znanych złośliwych domen lub nietypowych protokołów, mogą go po prostu nie oznaczyć.

To forma „korzystania z zaufanej infrastruktury” (living off trusted infrastructure), będąca wariantem dobrze znanej taktyki „życia z ziemi” (living off the land), w której atakujący używają wbudowanych narzędzi systemowych zamiast własnego złośliwego oprogramowania. Tutaj zaufaną infrastrukturą nie jest plik binarny systemu, lecz sama przeglądarka i usługi chmurowe, z którymi normalnie się komunikuje.

Dlaczego ma to znaczenie dla firm i konsumentów

Grupy ransomware, takie jak Chaos, nie tylko szyfrują pliki – często najpierw wykradają wrażliwe dane, co oznacza, że dokumentacja klientów, informacje pracownicze i dokumenty biznesowe mogą zostać skradzione, zanim w ogóle pojawi się żądanie okupu. Gdy technika taka jak msaRAT pozwala atakującym komunikować się w ukryciu przez dłuższy czas bez wykrycia, wydłuża to okno możliwości kradzieży danych i bocznego przemieszczania się po sieci.

Dla konsumentów ryzyko jest pośrednie, ale realne. Jeśli firma, z której usług korzystasz, zostanie przejęta przez ransomware Chaos, a jej oparty na przeglądarce kanał C2 pozostanie niewykryty przez tygodnie, Twoje dane osobowe mogą być po cichu wykradane, zanim ktokolwiek to zauważy. To część szerszego trendu w operacjach ransomware: atakujący coraz częściej inwestują w techniki unikania wykrycia, które wykorzystują zaufanie do codziennych usług chmurowych, zamiast budować ewidentnie złośliwą infrastrukturę, którą łatwo zablokować.

Co to oznacza dla Ciebie

Jeśli jesteś administratorem IT lub specjalistą ds. bezpieczeństwa, to odkrycie przypomina, że bezgłowe procesy przeglądarki działające bez widocznego okna zasługują na kontrolę. Niespodziewane procesy Chrome lub Edge uruchamiane przez skrypty, zaplanowane zadania lub nieznane procesy nadrzędne warto zbadać, zwłaszcza jeśli komunikują się przez porty debugowania CDP lub generują nietypowy ruch w stylu WebRTC.

Dla zwykłych użytkowników i właścicieli małych firm bez dedykowanego zespołu bezpieczeństwa praktyczny wniosek dotyczy mniej konkretnego złośliwego oprogramowania, a bardziej obrony warstwowej. Aktualizuj przeglądarki i systemy operacyjne, ogranicz uprawnienia administracyjne i ostrożnie podchodź do narzędzi ochrony punktów końcowych, na których polega Twoja organizacja w wykrywaniu anomalii. Segmentacja wrażliwego ruchu i monitorowanie połączeń wychodzących – także przez renomowaną sieć VPN lub usługę bezpieczeństwa sieciowego – może dodać warstwę widoczności, która pomoże wyłapać nietypowe wzorce, nawet gdy złośliwe oprogramowanie próbuje wtopić się w legalny ruch chmurowy.

Konkretne działania do podjęcia

  • Monitoruj nieoczekiwane bezgłowe procesy Chrome lub Edge, szczególnie te korzystające ze zdalnych portów debugowania związanych z CDP.
  • Aktualizuj przeglądarki, systemy operacyjne i narzędzia do wykrywania zagrożeń, aby wyłapywać znane wskaźniki powiązane z ransomware Chaos i msaRAT.
  • Ograniczaj ruch wychodzący tam, gdzie to możliwe, i przeglądaj logi pod kątem anomalnych połączeń WebRTC lub przekaźnikowych TURN, które nie pasują do oczekiwanego zastosowania biznesowego.
  • Edukuj zespoły IT na temat tej ewoluującej techniki, aby alerty nie były lekceważone tylko dlatego, że ruch wydaje się pochodzić z zaufanych usług, takich jak Cloudflare czy Twilio.

W miarę jak grupy ransomware udoskonalają sposoby ukrywania się, bycie na bieżąco z technikami takimi jak ta zastosowana w kampanii ransomware Chaos pozostaje jedną z najlepszych dostępnych form obrony. Świadomość w połączeniu z podstawową higieną, taką jak łatanie i monitorowanie ruchu, wciąż jest najbardziej niezawodnym sposobem na ograniczenie narażenia na te ewoluujące zagrożenia.