Danny Weber
Die in Rust geschriebene Malware steuert Chrome oder Edge über das DevTools-Protokoll und tarnt ihren Befehlskanal mit WebRTC.
Forscher von Cisco Talos haben einen neuen Fernzugriffs-Trojaner namens msaRAT entdeckt, der in Rust geschrieben wurde. Die Experten bringen die Schadsoftware mit der Gruppe hinter der Ransomware Chaos in Verbindung. msaRAT kann Befehle aus der Ferne ausführen und nutzt einen Browser als Vermittler für die Kommunikation mit seiner Steuerungsinfrastruktur.
Nach dem Start richtet der Trojaner eine asynchrone Tokio-Laufzeitumgebung ein und sucht anschließend nach einer installierten Version von Chrome oder Edge. Der gefundene Browser wird im Headless-Modus gestartet, danach verbindet sich die Malware über das Chrome DevTools Protocol — eine Standardschnittstelle zur Browser-Diagnose und -Automatisierung.
msaRAT stellt keine direkte Verbindung zu externen Servern her. Stattdessen lässt die Malware den Browser JavaScript ausführen und Anfragen an einen Knoten auf Cloudflare Workers senden. Der Dienst liefert Parameter und tauscht Daten aus, die für den Aufbau einer WebRTC-Verbindung nötig sind. Nach Abschluss der Signalisierung werden Befehle und gestohlene Daten über einen WebRTC DataChannel übertragen.
Dadurch sehen ausgehende Verbindungen so aus, als stammten sie von einem normalen Browser, während der Netzwerkverkehr über die weitverbreitete Cloudflare-Infrastruktur und WebRTC-Dienste läuft. Der Trojaner-Prozess selbst kommuniziert nur mit der lokalen Adresse 127.0.0.1, was die Erkennung durch Firewalls und Überwachungssysteme erschweren kann.
Cisco Talos bezeichnet diesen Ansatz als Living off the Browser. Das Prinzip erinnert an Living-off-the-Land-Angriffe, bei denen Angreifer bereits installierte Systemwerkzeuge nutzen, statt zusätzliche Schadkomponenten einzusetzen. Bei msaRAT wird der Browser zum Vermittler für einen verdeckten Steuerkanal.
© RusPhotoBank