Uma Nova Reviravolta no Comando e Controlo de Ransomware

O grupo por trás do ransomware Chaos adotou uma ferramenta de malware chamada msaRAT que adota uma abordagem incomum para permanecer oculta nos computadores infetados. Em vez de ter o seu processo malicioso a comunicar diretamente com um servidor remoto, como a maioria do malware faz, o msaRAT entrega essa tarefa a um navegador legítimo. Lança uma instância headless (invisível, sem interface gráfica) do Chrome ou Microsoft Edge, controla-a através do Chrome DevTools Protocol (CDP) e deixa o navegador tratar de toda a comunicação de saída. O próprio processo do msaRAT nunca toca diretamente na rede; fica confinado ao loopback, ou seja, só comunica com a instância do navegador em execução na mesma máquina.

Isto é relevante porque inverte a lógica de deteção habitual em que as ferramentas de segurança se baseiam. Os analistas e as defesas automatizadas costumam assinalar processos suspeitos que contactam endereços IP externos desconhecidos. Com o msaRAT, o processo que faz o contacto é um binário de navegador real e assinado, e o tráfego que gera é disfarçado para parecer algo normal.

Por Que Razão o Encaminhamento Através do Twilio TURN é Importante para a Privacidade

A instância do navegador controlada pelo msaRAT também não se liga a um simples servidor de comando e controlo. Retransmite o seu tráfego encriptado através da infraestrutura TURN da Twilio, um serviço normalmente utilizado para ajudar as ligações WebRTC a ultrapassar firewalls e NAT em situações como videochamadas e conversas de voz. Como o tráfego retransmitido por TURN é encriptado e estruturalmente idêntico a sessões WebRTC legítimas, confunde-se com o tipo de atividade de rede que milhares de milhões de chamadas e ferramentas de conferência baseadas no navegador geram todos os dias.

Esta é a principal implicação de privacidade e segurança da técnica: explora os mesmos protocolos e serviços que protegem as comunicações quotidianas para, em vez disso, proteger as comunicações maliciosas. Os responsáveis pela defesa da rede que procuram protocolos anómalos, domínios de destino invulgares ou tráfego de beacon não encriptado não encontrarão aqui nenhum desses sinais. O padrão de tráfego parece uma videochamada, e não um operador de ransomware a comunicar com um ponto final infetado.

Esta abordagem reflete também uma tendência mais ampla entre os operadores de ransomware e extorsão no sentido de "viver do navegador", uma evolução da antiga estratégia de "viver da terra", em que os atacantes utilizam ferramentas legítimas do sistema já presentes na máquina em vez de introduzirem binários maliciosos óbvios. Os grupos de ransomware têm mostrado consistentemente uma preferência por técnicas que lhes permitam permanecer mais tempo nas redes antes de detonar uma carga útil de encriptação ou, cada vez mais, passar para a extorsão baseada exclusivamente no roubo de dados. Este modelo de extorsão tornou-se tão comum que os grupos reivindicam publicamente vítimas com regularidade, como se viu em casos como o das reivindicações dos ShinyHunters contra a Exact Sciences, em que dados de saúde roubados foram usados como alavanca em vez de, ou em complemento à, encriptação de ficheiros.

O Que Isto Significa Para Si

Para a maioria dos utilizadores individuais, o msaRAT em si não é algo com que se deparem diretamente — é uma ferramenta dirigida a organizações que os operadores do ransomware Chaos estão a visar ativamente para intrusão na rede e extorsão. Mas a lição subjacente aplica-se de forma geral: os atacantes estão a tornar-se melhores a fazer com que o tráfego malicioso seja indistinguível da atividade normal e encriptada do navegador. Isso deve recalibrar as expectativas sobre o que a monitorização de rede, por si só, consegue detetar.

Se a sua organização depende fortemente da inspeção de tráfego no perímetro para detetar comprometimentos, este tipo de técnica é um lembrete de que a visibilidade ao nível do ponto final — ou seja, o que os processos estão realmente a fazer numa máquina, e não apenas o que estão a enviar pela rede — está a tornar-se mais importante, e não menos. Uma instância de navegador headless lançada silenciosamente por outro processo é um evento detetável no ponto final, mesmo quando o seu tráfego de rede parece limpo.

Para os utilizadores comuns, a conclusão prática é menos sobre este malware específico e mais sobre o ambiente que ele sinaliza. Os grupos de ransomware estão continuamente a aperfeiçoar formas de se misturarem, e os comprometimentos que eventualmente levam a ficheiros encriptados ou a dados pessoais divulgados começam geralmente com algo banal: um email de phishing, um anexo malicioso ou um serviço vulnerável exposto. A vigilância nessa fase inicial continua a ser a defesa mais eficaz para nunca encontrar algo como o msaRAT mais à frente.

Pontos-Chave

  • O msaRAT, ligado ao ransomware Chaos, controla o Chrome ou Edge em modo headless através do Chrome DevTools Protocol, em vez de comunicar diretamente com servidores de C2.
  • O malware retransmite tráfego de comando e controlo encriptado através do serviço TURN da Twilio, fazendo-o assemelhar-se a tráfego WebRTC legítimo, como o de videochamadas.
  • Esta técnica foi concebida para contornar a deteção tradicional baseada na rede que procura ligações de saída invulgares ou beacons não encriptados.
  • As organizações devem combinar a monitorização de rede com visibilidade ao nível do ponto final, uma vez que o próprio processo do navegador, e a forma como foi lançado, continuam a ser um sinal detetável mesmo quando o tráfego parece limpo.
  • A tendência mais ampla para canais de C2 mais furtivos sublinha por que razão a aplicação rápida de patches, a sensibilização para phishing e uma monitorização sólida dos pontos finais continuam a ser defesas essenciais contra intrusões de ransomware antes que estas atinjam a fase de extorsão.