Новий поворот у командно-контрольних з’єднаннях вимагачів

Група, що стоїть за вірусом-вимагачем Chaos, взяла на озброєння інструмент під назвою msaRAT, який використовує незвичайний спосіб лишатися непоміченим на заражених машинах. Замість того, щоб його шкідливий процес напряму спілкувався з віддаленим сервером, як це робить більшість зловредів, msaRAT передає це завдання легітимному браузеру. Він запускає безголовий (невидимий, без графічного інтерфейсу) екземпляр Chrome або Microsoft Edge, керує ним через протокол Chrome DevTools (CDP) і дозволяє браузеру обробляти весь вихідний зв’язок. Сам процес msaRAT ніколи не торкається мережі безпосередньо; він залишається в межах зворотного зв’язку (loopback), тобто спілкується лише з екземпляром браузера, запущеним на тій самій машині.

Це важливо, тому що це перевертає звичну логіку виявлення, на яку покладаються засоби безпеки. Аналітики та автоматизований захист зазвичай позначають підозрілі процеси, що звертаються до незнайомих зовнішніх IP-адрес. У випадку з msaRAT процесом, який здійснює з’єднання, є справжній, підписаний виконуваний файл браузера, а його трафік замаскований так, щоб виглядати звичайним.

Чому маршрутизація через Twilio TURN важлива для конфіденційності

Контрольований msaRAT екземпляр браузера також не підключається до простого командно-контрольного сервера. Він передає свій зашифрований трафік через інфраструктуру Twilio TURN — сервіс, який зазвичай використовується, щоб допомогти з’єднанням WebRTC долати брандмауери та NAT для таких речей, як відеодзвінки та голосовий чат. Оскільки трафік ретрансляції TURN зашифрований і структурно ідентичний легітимним сеансам WebRTC, він зливається з мережевою активністю, яку генерують мільярди браузерних дзвінків та інструментів для конференцій щодня.

Саме в цьому полягає ключовий наслідок цієї техніки для конфіденційності та безпеки: вона використовує ті самі протоколи й сервіси, що захищають повсякденні комунікації, для захисту зловмисних. Захисники мереж, які шукають аномальні протоколи, незвичайні домени призначення або незашифрований маячковий трафік, не знайдуть тут жодного з цих сигналів. Шаблон трафіку виглядає як відеодзвінок, а не як перевірка оператора-вимагача на зараженій кінцевій точці.

Цей підхід також відображає ширший тренд серед операторів програм-вимагачів і здирників до «життя за рахунок браузера» — еволюцію старішої стратегії «життя за рахунок системи» (living off the land), коли зловмисники використовують легітимні системні інструменти, уже присутні на машині, замість того, щоб закидати очевидні зловмисні файли. Угруповання-вимагачі незмінно віддають перевагу технікам, які дозволяють їм довше перебувати в мережах, перш ніж запустити шифрувальне навантаження або, що дедалі частіше, перейти до чистого здирництва з викраденням даних. Модель здирництва стала настільки поширеною, що зловмисники регулярно публічно заявляють про жертв, як це видно у випадках на кшталт заяв ShinyHunters проти Exact Sciences, де викрадені медичні дані використовувалися як важіль тиску замість або на додаток до шифрування файлів.

Що це означає для вас

Для більшості індивідуальних користувачів msaRAT сам по собі не є чимось, з чим ви зіткнетеся безпосередньо, це інструмент, націлений на організації, які оператори вимагача Chaos активно атакують для проникнення в мережу та здирництва. Але глибинний урок застосовний ширше: зловмисники стають дедалі вправнішими в тому, щоб робити шкідливий трафік невідрізним від звичайної зашифрованої активності браузера. Це повинно скоригувати очікування щодо того, що може виявити лише мережевий моніторинг.

Якщо ваша організація значною мірою покладається на перевірку периметрового трафіку для виявлення компрометації, ця техніка є нагадуванням, що видимість на рівні кінцевих точок — тобто того, що процеси насправді роблять на машині, а не лише того, що вони передають через мережу, — стає дедалі важливішою. Безголовий екземпляр браузера, тихо запущений іншим процесом, є подією, яку можна виявити на кінцевій точці, навіть якщо її мережевий трафік виглядає чистим.

Для пересічних користувачів практичний висновок менше стосується цього конкретного зловреда, а більше — середовища, про яке він сигналізує. Угруповання-вимагачі постійно вдосконалюють способи маскування, і компрометації, які врешті-решт призводять до зашифрованих файлів або витоку особистих даних, зазвичай починаються з чогось буденного: фішингового листа, шкідливого вкладення або вразливої відкритої служби. Пильність на цьому початковому етапі залишається найефективнішим захистом від того, щоб колись зіткнутися з чимось на кшталт msaRAT далі по ланцюжку.

Ключові висновки

  • msaRAT, пов’язаний із вірусом-вимагачем Chaos, керує безголовим Chrome або Edge через протокол Chrome DevTools, замість того щоб комунікувати з C2-серверами безпосередньо.
  • Шкідливий код ретранслює зашифрований командно-контрольний трафік через сервіс Twilio TURN, завдяки чому він нагадує легітимний трафік WebRTC, як-от відеодзвінки.
  • Ця техніка призначена для обходу традиційного мережевого виявлення, яке шукає незвичні вихідні з’єднання або незашифровані маячкові сигнали.
  • Організаціям варто поєднувати мережевий моніторинг із видимістю на кінцевих точках, оскільки сам браузерний процес і те, як він був запущений, залишаються сигналом, який можна виявити, навіть коли його трафік виглядає чистим.
  • Ширша тенденція до прихованіших C2-каналів підкреслює, чому своєчасне встановлення виправлень, обізнаність щодо фішингу та надійний моніторинг кінцевих точок залишаються обов’язковими засобами захисту від вторгнень програм-вимагачів до того, як вони досягнуть стадії здирництва.