Uma Nova Maneira de Se Esconder à Vista de Todos

Pesquisadores da Cisco Talos descobriram uma nova técnica do grupo de ransomware Chaos que transforma seu próprio navegador web em um canal de comunicação secreto. A ferramenta, chamada msaRAT, é um trojan de acesso remoto escrito em Rust que controla uma sessão headless do Chrome ou Edge usando o Protocolo Chrome DevTools (CDP). Em vez de se conectar diretamente a um servidor de comando e controle como a maioria dos malwares, o msaRAT direciona seu tráfego através de infraestruturas legítimas operadas pela Cloudflare e Twilio, fazendo com que a atividade do invasor pareça tráfego de navegador comum, e não atividade de rede maliciosa.

Essa descoberta é importante porque representa uma mudança significativa na forma como os grupos de ransomware evitam a detecção. Em vez de depender de protocolos personalizados ou domínios suspeitos que as ferramentas de segurança são treinadas para sinalizar, os operadores do ransomware Chaos estão utilizando infraestruturas que as empresas confiam e usam diariamente. Se você quiser uma análise técnica mais aprofundada de como o msaRAT opera dentro do processo do navegador, já abordamos anteriormente como o msaRAT do ransomware Chaos se esconde no Chrome e Edge em mais detalhes.

Como o Ataque Realmente Funciona

De acordo com a Cisco Talos, o msaRAT foi descoberto em uma máquina Windows comprometida, implantado como uma etapa precursora antes do lançamento do ransomware criptografador propriamente dito. Esse é um padrão comum em operações modernas de ransomware: os invasores primeiro estabelecem persistência e capacidades de reconhecimento e, em seguida, implantam a carga destrutiva uma vez que mapearam a rede e identificaram dados valiosos.

O que diferencia o msaRAT é o uso do CDP para controlar uma instância headless do Chrome ou Edge rodando silenciosamente em segundo plano. Ao controlar um processo real do navegador, o malware pode retransmitir tráfego criptografado de comando e controle através da infraestrutura de retransmissão TURN da Twilio, que normalmente é usada para aplicativos WebRTC legítimos, como chamadas de vídeo e comunicações em tempo real. Como esse tráfego passa pelas redes da Cloudflare e Twilio e se assemelha à sinalização WebRTC normal, ele se mistura ao ruído de fundo da atividade cotidiana da internet. As ferramentas tradicionais de monitoramento de rede que procuram domínios maliciosos conhecidos ou protocolos incomuns podem simplesmente não sinalizá-lo.

Esta é uma forma de "viver da infraestrutura confiável", uma variação da conhecida tática de "viver da terra", onde os invasores usam ferramentas nativas do sistema em vez de malware personalizado. Aqui, a infraestrutura confiável não é um binário do sistema, mas o próprio navegador e os serviços de nuvem com os quais ele normalmente se comunica.

Por que Isso é Importante para Empresas e Consumidores

Grupos de ransomware como o Chaos não apenas criptografam arquivos; muitas vezes eles primeiro exfiltram dados confidenciais, o que significa que registros de clientes, informações de funcionários e documentos comerciais podem ser roubados antes que a nota de resgate apareça. Quando uma técnica como o msaRAT permite que os invasores se comuniquem de forma secreta por períodos mais longos sem detecção, isso aumenta a janela de oportunidade para o roubo de dados e movimentação lateral pela rede.

Para os consumidores, o risco é indireto, mas real. Se uma empresa com a qual você faz negócios for comprometida pelo ransomware Chaos e seu canal C2 baseado em navegador não for detectado por semanas, seus dados pessoais podem ser silenciosamente drenados antes que alguém perceba. Isso faz parte de uma tendência mais ampla nas operações de ransomware: os invasores estão investindo cada vez mais em técnicas de evasão que exploram a confiança em serviços de nuvem comuns, em vez de construir infraestruturas obviamente maliciosas que são fáceis de colocar em listas negras.

O que Isso Significa para Você

Se você é um administrador de TI ou profissional de segurança, esse desenvolvimento é um lembrete de que processos headless do navegador rodando sem uma janela visível merecem escrutínio. Processos inesperados do Chrome ou Edge gerados por scripts, tarefas agendadas ou processos pai não familiares valem a pena investigar, especialmente se estiverem se comunicando com portas de depuração CDP ou gerando tráfego incomum no estilo WebRTC.

Para usuários comuns e proprietários de pequenas empresas sem uma equipe de segurança dedicada, a conclusão prática é menos sobre o malware específico e mais sobre defesa em camadas. Mantenha os navegadores e sistemas operacionais atualizados, restrinja privilégios administrativos e seja cauteloso com as ferramentas de endpoint em que sua organização confia para detectar anomalias. Segmentar o tráfego confidencial e monitorar as conexões de saída, inclusive por meio de um VPN ou serviço de segurança de rede confiável, pode adicionar uma camada de visibilidade que ajuda a detectar padrões incomuns mesmo quando o malware tenta se misturar ao tráfego legítimo da nuvem.

Conclusões Acionáveis

  • Monitore processos headless inesperados do Chrome ou Edge, particularmente aqueles que usam portas de depuração remota associadas ao CDP.
  • Mantenha navegadores, sistemas operacionais e ferramentas de detecção de endpoint atualizados para detectar indicadores conhecidos ligados ao ransomware Chaos e msaRAT.
  • Restrinja o tráfego de saída sempre que possível e revise os logs em busca de conexões anômalas de retransmissão WebRTC ou TURN que não correspondam ao uso comercial esperado.
  • Eduque as equipes de TI sobre essa técnica em evolução para que os alertas não sejam descartados simplesmente porque o tráfego parece se originar de serviços confiáveis como Cloudflare ou Twilio.

À medida que os grupos de ransomware continuam refinando a forma como se escondem, manter-se informado sobre técnicas como a usada nesta campanha do ransomware Chaos é uma das melhores defesas disponíveis. A conscientização, combinada com a higiene básica, como aplicação de patches e monitoramento de tráfego, continua sendo a maneira mais confiável de reduzir sua exposição a essas ameaças em evolução.