Групата за изнудвачески софтуер „Chaos“ използва нов заден вход (backdoor), наречен „msaRAT“, който скрива комуникацията с командния и контролен сървър (C2), като я маршрутизира през браузърите Chrome или Edge.

Зловредният софтуер е написан на Rust и използва протокола Chrome DevTools Protocol (CDP), за да контролира сесия на браузъра в фонов режим (headless) и да установи връзка със сървъра на атакуващия.

Тъй като зловредният софтуер маршрутизира цялата комуникация през браузъра, той не осъществява директна връзка с C2 инфраструктурата, което значително намалява риска от откриване.

Групата за изнудвачески софтуер „Chaos“ се появи в началото на 2025 г. и не е свързана с едноименното семейство ransomware, съществуващо от 2021 г.

По-рано тази година изследователи от Rapid7 установиха, че „Chaos“ е бил използван от подкрепяните от иранската държава хакери „MuddyWater“, за да прикрият своите операции за кибершпионаж като финансово мотивирани атаки.

По-новите атаки с рансъмуер „Chaos“, наблюдавани от изследователския екип на Cisco Talos, започват чрез имейл или гласов фишинг и продължават с инсталирането на софтуер за отдалечено управление с цел осигуряване на постоянно присъствие.

След като проникне в средата, атакуващият изтегля MSI инсталатор, маскиран като актуализация на Windows, който зарежда „msaRAT“ (lib.dll) директно в системната памет.

След като бъде стартиран, „msaRAT“ търси Chrome или Microsoft Edge и стартира браузъра в headless режим, при който процесът започва без видим прозорец.

След това той активира интерфейса за отдалечено отстраняване на грешки на браузъра и се свързва с него чрез CDP. След тази стъпка отваря нов раздел в браузъра и инжектира JavaScript в него чрез CDP команди.

Инжектираният JavaScript е отговорен за изграждането на комуникационния канал, заобикалянето на политиката за сигурност на съдържанието на Chrome (CSP) и регистрирането на няколко CDP свързвания (bindings), които позволяват комуникацията.

След приключване на първоначалната настройка, браузърът се свързва с крайна точка на Cloudflare Workers (is-01-ast[.]ols-img-12[.]workers[.]dev), за да получи информация за WebRTC връзка и да установи шифрован канал.

Talos обяснява, че има два слоя на шифроване: WebRTC DTLS, предоставен автоматично от браузъра, и ключ ChaCha20-Poly1305 + ECDH, внедрен от „msaRAT“.

Комуникацията се препредава през TURN сървъри на Twilio със специфична конфигурация, за да се избегнат директни peer-to-peer връзки.

„Чрез умишлено пропускане на кандидатите за ICE, които обикновено присъстват в стандартните WebRTC комуникации, се предотвратява установяването на P2P връзки, което води до дизайн, при който всички комуникации винаги се маршрутизират през TURN“, обяснява Cisco.

„Чрез маршрутизиране на трафика през легитимната услуга на Twilio, реалният IP адрес на сървъра на атакуващия никога не се появява в мрежовия трафик, а двуслойната инфраструктура, комбинираща Twilio с Cloudflare Workers, прави изключително трудно проследяването на инфраструктурата на атакуващия.“

Изследователите са документирали как работи системата за обмен на данни, като са разбили съобщенията на части, наречени „рамки“, които включват обмен на ключове, отваряне/затваряне на канали, нулиране на сесии и изпълнение на команди в Windows.

Чрез използването на Cloudflare Workers като сигнален ретранслатор, атакуващият гарантира, че неговият сървър остава защитен, тъй като целевият IP адрес е присвоен на инфраструктурата на Cloudflare и ще премине автоматичната проверка на защитните стени и белите списъци.

Също така, безплатният поддомейн „*workers.dev“ е предназначен за разработчици и блокирането му би нарушило легитимни внедрявания на Cloudflare Workers и би засегнало добронамерени услуги.

Изследователите подчертават, че комуникационният механизъм в „msaRAT“ му позволява да контролира C2 обмена, без да докосва мрежата директно, заравяйки го в нормалния уеб трафик.

Докладът на Cisco Talos споделя пълен списък с индикатори за компрометиране (IoCs), свързани с атаките, използващи задния вход „msaRAT“.