msaRAT trasforma Chrome ed Edge in un canale di controllo nascosto

I ricercatori di Cisco Talos hanno scoperto un nuovo trojan di accesso remoto chiamato msaRAT, scritto in Rust. Gli esperti collegano il malware al gruppo responsabile del ransomware Chaos. msaRAT consente di eseguire comandi da remoto su un computer infetto e usa un browser come intermediario per comunicare con l'infrastruttura di comando.

Dopo l'avvio, il trojan crea un ambiente asincrono Tokio e poi cerca un'installazione di Chrome o Edge. Il browser viene avviato in modalità headless e il malware si collega tramite il Chrome DevTools Protocol — un'interfaccia standard per il debug e l'automazione dei browser.

msaRAT non si collega direttamente a server esterni. Al contrario, obbliga il browser a eseguire JavaScript e a inviare richieste a un nodo ospitato su Cloudflare Workers. Il servizio fornisce i parametri e scambia i dati necessari per stabilire una connessione WebRTC. Terminata la segnalazione, comandi e dati rubati vengono trasferiti attraverso un WebRTC DataChannel.

Di conseguenza, le connessioni in uscita sembrano provenire da un normale browser, mentre il traffico di rete passa attraverso la diffusa infrastruttura Cloudflare e i servizi WebRTC. Il processo del trojan comunica soltanto con l'indirizzo locale 127.0.0.1, rendendo potenzialmente più difficile il rilevamento da parte di firewall e sistemi di monitoraggio.

Cisco Talos ha chiamato questa tecnica Living off the Browser. Il principio ricorda gli attacchi Living off the Land, nei quali gli aggressori sfruttano strumenti già installati nel sistema invece di introdurre componenti malevoli separati. Nel caso di msaRAT, il browser diventa l'intermediario di un canale di comando nascosto.