Chaos ransomware въведе нов начин за скриване на дейността на атакуващите в рамките на ежедневното сърфиране в мрежата.

Инструментът за отдалечен достъп msaRAT на групата превръща Chrome или Microsoft Edge в таен канал за получаване на команди и трансфер на данни.

Този подход отразява опасенията за скритост, повдигнати от кампаниите със зловреден софтуер с фалшиви актуализации на Chrome, но използва браузъра след компрометирането, а не като първоначална стръв.

Групата, предлагаща „рансъмуер като услуга“ (Ransomware-as-a-Service), беше потвърдена за първи път през февруари 2025 г. и е насочена към големи организации с атаки за двойно изнудване.

Нейните оператори обикновено получават достъп чрез спам имейли и гласов фишинг, след което използват инструменти за отдалечено управление и легитимни услуги за споделяне на файлове, за да поддържат достъпа и да крадат данни.

Cisco Talos заяви в доклад, споделен с Cyber Security News (CSN), че е идентифицирала базирания на Rust зловреден софтуер, наречен msaRAT, като инструмент, свързан с Chaos.

Името идва от кодови етикети, включително msaOpen, msaClose, msaError и msaMessage, които помагат за свързването на зловредния код с активността в рамките на отвлечения браузър.

Констатацията е важна, тъй като защитниците могат да видят това, което изглежда като нормален трафик на браузъра, а не подозрителен процес на зловреден софтуер, осъществяващ връзка със сървър, контролиран от атакуващия.

Това прави стандартния мрежов мониторинг по-малко надежден и дава на операторите на рансъмуер друг начин да останат скрити, преди да внедрят криптирането и бележките за откуп.

След като попаднат на устройството на жертвата, киберпрестъпниците изтеглят инсталатор за Windows, който се представя за софтуерно обновяване.

Инсталаторът зарежда злонамерена библиотека директно в паметта, което позволява на msaRAT да работи, като същевременно намалява видимите следи, които традиционните инструменти за сигурност, базирани на файлове, могат да открият.

След това зловредният софтуер търси Chrome или Edge на компрометирания компютър. Ако намери някой от двата браузъра, той го стартира в безглав режим (headless mode) — което означава, че работи без видим прозорец — и активира интерфейс за отдалечено отстраняване на грешки, предназначен за разработчици.

Чрез Chrome DevTools Protocol msaRAT отваря сесия на браузъра и инжектира JavaScript в нов раздел.

Техниката е подобна по принцип на злоупотребата с безглав браузър, описана при заобикалянето на криптирането на браузъра Sryxen, въпреки че Chaos използва функцията за изграждане на скрит комуникационен път, а не основно за кражба на бисквитки.

Инжектираният код изисква детайли за връзка от крайна точка на Cloudflare Workers и създава WebRTC канал за данни. WebRTC се използва широко за комуникация в браузъра в реално време, така че употребата му може да се смеси с нормалния трафик, генериран от уеб приложения и услуги за сътрудничество.

Атакуващите насочват връзката през TURN реле, предотвратявайки директна връзка с техния сървър и скривайки реалния му адрес. Трафикът също така е криптиран два пъти: WebRTC прилага транспортно криптиране, докато msaRAT отделно криптира данните, преди да ги прехвърли в браузъра.

Този дизайн оставя процеса на зловредния софтуер да комуникира само с локалната машина, докато браузърът извършва външните заявки.

Поради това екипите за сигурност могат да видят как Chrome или Edge се свързват с легитимно изглеждаща инфраструктура — ситуация, която прилича на предизвикателствата, докладвани при случаи на злоупотреба с рансъмуер, базиран на браузъри.

Chaos използва този ръководен от браузъра подход след първоначалния достъп и преди финалния етап на рансъмуера.

Установеният модел на групата от фишинг, вишинг, злоупотреба с отдалечено управление и кражба на данни означава, че организациите трябва да третират подозрителните стартирания на браузъри на сървъри и устройства на служители като възможни признаци за по-широко проникване.

Защитниците трябва да разследват процеси на Chrome или Edge, стартирани с настройки за безглав режим и отдалечено отстраняване на грешки, особено когато се появяват неочаквано в системи, които обикновено не изискват автоматизация на браузъра.

Те също така трябва да търсят процеси на браузъра, които правят необичайни WebRTC връзки малко след изпълнението на MSI инсталатор или предполагаемо обновяване.

Мрежовите контроли трябва да инспектират уеб трафика по протокол, а не да се доверяват само на порт 443. В тази кампания първоначалното изтегляне използва чист HTTP през порт 443, което може да се промъкне покрай защитни стени, които позволяват трафика просто защото използва общодостъпен номер на порт.

Организациите трябва да ограничат ненужния софтуер за отдалечено управление, да наложат устойчиви на фишинг контроли за влизане и да наблюдават платформите за споделяне на файлове за неочаквани масови трансфери.

Телеметрията на браузъра, дърветата на процесите в крайните точки и активността на инсталатора трябва да бъдат съпоставени, тъй като нито един сигнал сам по себе си не може да разкрие пълната верига на атаката.

Методът за комуникация също така подчертава защо защитниците не могат да приемат, че криптираният или произхождащият от браузъра трафик е безопасен. Подобни опасения се появиха и при командните канали на Ghost Calls, където легитимните комуникационни технологии могат да помогнат на атакуващите да скрият контролния трафик.

Cisco Talos заяви, че наличното им покритие за откриване включва ClamAV сигнатура и Snort правила за тази заплаха.

Екипите трябва да проверят тези контроли в своята среда, да търсят изброените индикатори и бързо да изолират засегнатите системи, ако открият злонамерена дейност на инсталатора или необичаен безглав браузър.