O Chaos Ransomware encontra um novo esconderijo: seu navegador web

Pesquisadores de segurança da Cisco Talos descobriram uma nova reviravolta na forma como o grupo de ransomware Chaos opera. Em vez de se comunicar diretamente com seus servidores de comando e controle (C2), a ferramenta recém-identificada do grupo, chamada msaRAT, sequestra silenciosamente o Chrome ou o Edge em uma máquina infectada e usa o próprio navegador como mensageiro. Como o tráfego se parece com a atividade comum do navegador, boa parte dele escapa das ferramentas antivírus e dos sistemas de monitoramento de rede, que são configurados para sinalizar processos independentes suspeitos, não o navegador que você usa todos os dias.

Essa abordagem, às vezes descrita como 'viver do navegador', é uma variação da conhecida tática de 'viver do ambiente', em que os invasores reaproveitam softwares legítimos já instalados no sistema em vez de depositar arquivos de malware óbvios. Neste caso, os operadores do ransomware levaram essa ideia um passo adiante, transformando um aplicativo confiável e frequentemente incluído nas listas de permissão em seu canal de comunicação secreto. Nossa cobertura anterior sobre como o msaRAT do Chaos ransomware esconde o tráfego C2 nos navegadores detalha a mecânica técnica com mais profundidade, mas a versão resumida é simples: o malware não se comunica diretamente com seus controladores. Em vez disso, faz com que o navegador o faça.

Como o msaRAT manipula o Chrome e o Edge

De acordo com os pesquisadores, o msaRAT é um trojan de acesso remoto baseado em Rust que chega às máquinas das vítimas por meio de métodos de entrega enganosos, incluindo instaladores disfarçados de atualizações rotineiras do Windows. Uma vez instalado, ele inicia o Chrome ou o Edge em um modo headless oculto, de forma que a vítima nunca vê uma janela do navegador se abrir. A partir daí, utiliza o Chrome DevTools Protocol (CDP), um recurso legítimo incorporado a esses navegadores para desenvolvedores e ferramentas de automação, para controlar remotamente o comportamento do navegador como um fantoche.

Em seguida, o malware encaminha seu tráfego de comando e controle por meio de conexões WebRTC e serviços como o relay TURN da Twilio, ambos tecnologias legítimas usadas para comunicação em tempo real e chamadas de vídeo. Como esse tráfego é criptografado e trafega por uma infraestrutura que inúmeras aplicações legítimas também utilizam, ele se mistura à atividade normal da web. As ferramentas de segurança que inspecionam o tráfego de rede em busca de assinaturas de malware conhecidas ou servidores de destino incomuns têm muito mais dificuldade em separar isso do uso cotidiano do navegador, o que é exatamente a intenção.

O efeito prático é que uma máquina infectada pode manter um canal persistente e controlado remotamente para roubo de dados e comprometimento adicional, enquanto seu software de segurança não vê nada mais alarmante do que o Chrome ou o Edge fazendo o que normalmente fazem. Essa é uma evolução significativa para os grupos de ransomware, que tradicionalmente dependem de métodos mais detectáveis para manter o acesso remoto.

Por que as defesas tradicionais enfrentam dificuldades aqui

A maioria das ferramentas antivírus e de detecção de endpoint é ajustada para identificar executáveis maliciosos, comportamento incomum de processos ou conexões com endereços IP reconhecidamente maliciosos. O msaRAT contorna todos os três. O processo que conduz a atividade maliciosa é o próprio navegador, um software presente em praticamente todos os dispositivos e confiável por padrão. A infraestrutura de destino, serviços como o relay TURN da Twilio, é legítima e amplamente utilizada; bloqueá-la completamente quebraria outras aplicações das quais as pessoas dependem. E, como o navegador está sendo executado em modo headless, não há janela visível ou sinal aparente para o usuário de que algo incomum está acontecendo.

É justamente por isso que os pesquisadores de segurança enfatizam a detecção comportamental e em nível de rede, em vez de depender apenas de antivírus baseado em assinaturas. Identificar processos headless inesperados do navegador, sessões WebRTC de saída incomuns iniciadas sem interação do usuário, ou navegadores iniciados por meio de protocolos de automação como o CDP fora dos contextos esperados de desenvolvimento pode ajudar a sinalizar esse tipo de atividade mesmo quando o malware em si escapa da verificação tradicional.

O que isso significa para você

Para os usuários individuais, a exposição direta ao msaRAT depende se o Chaos ransomware tem como alvo consumidores ou se concentra principalmente em organizações, o que tende a ser o padrão mais comum dos grupos de ransomware. Dito isso, a técnica subjacente – esconder tráfego malicioso dentro de processos legítimos do navegador – é uma tática que provavelmente será adotada por outras famílias de malware ao longo do tempo, dada a eficácia com que ela parece evitar a detecção.

A lição prática tanto para usuários comuns quanto para administradores de TI é que confiar em um aplicativo simplesmente por ele ser conhecido e legítimo já não é suficiente. Avisos falsos de atualização de software continuam sendo um método de entrega comum para esse tipo de malware, portanto, verificar se os instaladores de atualização vêm diretamente de fontes oficiais é mais importante do que nunca. Uma VPN pode adicionar uma camada de tráfego de rede criptografado e ofuscado que dificulta a interceptação ou manipulação da sua conexão pelos invasores, mas não impedirá que um malware que já esteja em execução no seu dispositivo abuse do seu próprio navegador. A defesa aqui depende mais de uma higiene cuidadosa de software, do monitoramento de comportamentos incomuns do sistema e da manutenção das ferramentas de segurança atualizadas para reconhecer esses padrões emergentes.

Pontos práticos para aplicar

  • Baixe atualizações de software e de sistema operacional apenas diretamente dos sites oficiais dos fornecedores ou dos mecanismos de atualização incorporados, nunca de pop-ups ou instaladores de terceiros.
  • Fique atento a processos inesperados do navegador sendo executados em segundo plano, especialmente instâncias headless que não correspondem a nada que você tenha aberto.
  • Mantenha o software de segurança de endpoint atualizado, já que os fornecedores estão adaptando ativamente os métodos de detecção para identificar indicadores comportamentais como este, em vez de depender apenas de assinaturas de arquivos.
  • As organizações devem considerar monitorar o uso incomum de protocolos de automação do navegador, como o CDP, e conexões WebRTC inesperadas nos dispositivos gerenciados.
  • Trate a VPN como uma parte de uma estratégia de defesa em camadas que inclua também proteção de endpoint e hábitos cuidadosos de instalação de software, e não como uma solução isolada contra ransomware.

Como a ferramenta msaRAT do Chaos ransomware demonstra, os invasores estão encontrando maneiras cada vez mais criativas de se esconder à vista de todos, usando ferramentas nas quais já confiamos. Manter-se informado sobre essas técnicas em evolução e ajustar tanto os hábitos pessoais quanto as ferramentas de segurança de acordo continua sendo a forma mais confiável de ficar à frente delas.