msaRAT transforme Chrome et Edge en canal de commande furtif

Les chercheurs de Cisco Talos ont découvert un nouveau cheval de Troie d'accès à distance baptisé msaRAT, écrit en Rust. Ils relient ce malware au groupe à l'origine du rançongiciel Chaos. msaRAT permet d'exécuter des commandes à distance sur un ordinateur infecté et utilise un navigateur comme intermédiaire pour communiquer avec son infrastructure de contrôle.

Après son lancement, le cheval de Troie crée un environnement asynchrone Tokio, puis recherche une installation de Chrome ou d'Edge. Le navigateur est lancé en mode headless, puis le malware s'y connecte via le Chrome DevTools Protocol — une interface standard destinée au débogage et à l'automatisation des navigateurs.

msaRAT ne se connecte pas directement à des serveurs externes. À la place, il force le navigateur à exécuter du JavaScript et à envoyer des requêtes vers un nœud hébergé sur Cloudflare Workers. Ce service sert à obtenir les paramètres et à échanger les données nécessaires à l'établissement d'une connexion WebRTC. Une fois la signalisation terminée, les commandes et les données volées transitent via un WebRTC DataChannel.

Résultat : les connexions sortantes semblent provenir d'un navigateur ordinaire, tandis que le trafic réseau passe par l'infrastructure Cloudflare et des services WebRTC très répandus. Le processus du cheval de Troie ne communique lui-même qu'avec l'adresse locale 127.0.0.1, ce qui peut compliquer sa détection par les pare-feu et les systèmes de surveillance.

Cisco Talos appelle cette méthode Living off the Browser. Son principe rappelle les attaques Living off the Land, dans lesquelles les pirates s'appuient sur des outils déjà installés au lieu d'ajouter des composants malveillants distincts. Avec msaRAT, le navigateur devient l'intermédiaire d'un canal de commande dissimulé.