Geng ransomware Chaos menggunakan pintu belakang baru yang dijuluki msaRAT yang menyembunyikan komunikasi perintah dan kontrol (C2) dengan merutekannya melalui browser Chrome atau Edge.
Malware ini ditulis dalam Rust dan menggunakan Chrome DevTools Protocol (CDP) untuk mengontrol sesi browser tanpa kepala dan membuat koneksi ke server penyerang.
Karena malware mengarahkan semua komunikasi melalui browser, malware tersebut tidak membuat koneksi langsung ke infrastruktur C2, sehingga secara signifikan menurunkan risiko deteksi.
Itu Kelompok ransomware kekacauan muncul pada awal tahun 2025, tidak terkait dengan keluarga ransomware dengan nama yang sama yang ada sejak tahun 2021.
Awal tahun ini, para peneliti di Rapid7 menemukan bahwa Chaos dimanfaatkan oleh peretas ‘MuddyWater’ yang didukung negara Iran untuk menyamarkan operasi spionase dunia maya mereka sebagai serangan bermotif finansial.
Serangan ransomware Chaos yang lebih baru yang diamati oleh tim peneliti Cisco Talos dimulai melalui email atau phishing suara dan dilanjutkan dengan instalasi perangkat lunak manajemen jarak jauh untuk membangun persistensi.
Begitu berada di dalam lingkungan, penyerang mengunduh penginstal MSI yang menyamar sebagai pembaruan Windows, yang memuat msaRAT (lib.dll) langsung di memori sistem.
Sumber: Cisco Talos
Membajak Chrome
Setelah diluncurkan, msaRAT mencari Chrome atau Microsoft Edge dan meluncurkan browser dalam mode tanpa kepala, di mana proses dimulai tanpa jendela yang terlihat.
Selanjutnya, ini mengaktifkan antarmuka debugging jarak jauh browser dan menghubungkannya melalui CDP. Setelah langkah ini, ia akan membuka tab browser baru dan memasukkan JavaScript ke dalamnya menggunakan perintah CDP.
JavaScript yang disuntikkan bertanggung jawab untuk membangun saluran komunikasi, melewati Kebijakan Keamanan Konten (CSP) Chrome, dan mendaftarkan beberapa pengikatan CDP yang memungkinkan komunikasi.
Setelah penyiapan awal selesai, browser menghubungi titik akhir Cloudflare Workers (adalah-01-ast[.]ols-img-12[.]pekerja[.]dev) untuk mendapatkan informasi koneksi WebRTC dan membuat saluran terenkripsi.
Talos menjelaskan bahwa ada dua lapisan enkripsi: WebRTC DTLS, yang secara otomatis disediakan oleh browser, dan kunci ChaCha20-Poly1305 + ECDH, yang diimplementasikan oleh msaRAT.
Sumber: Cisco Talos
Komunikasi disampaikan melalui server Twilio TURN (Traversal Menggunakan Relay di sekitar NAT) dengan konfigurasi khusus untuk menghindari koneksi peer-to-peer langsung.
“Dengan secara sengaja menghilangkan kandidat ICE yang biasanya ada dalam komunikasi WebRTC standar, koneksi P2P dicegah untuk dibuat, sehingga menghasilkan desain di mana semua komunikasi selalu dirutekan melalui TURN,” jelas Cisco.
“Dengan merutekan lalu lintas melalui layanan resmi Twilio, alamat IP sebenarnya dari server penyerang tidak akan pernah muncul dalam lalu lintas jaringan, dan infrastruktur lapisan ganda yang menggabungkan Twilio dengan Cloudflare Cisco Confidential Workers membuatnya sangat sulit untuk melacak infrastruktur penyerang.”
Para peneliti mendokumentasikan cara kerja sistem pertukaran data dengan memecah pesan menjadi beberapa bagian yang disebut “frame”, yang mencakup pertukaran kunci, pembukaan/penutupan saluran, pengaturan ulang sesi, dan eksekusi perintah Windows.
Sumber: Cisco Talos
Dengan menggunakan Cloudflare Workers sebagai relai sinyal, penyerang memastikan bahwa server mereka tetap terlindungi karena alamat IP tujuan ditetapkan ke infrastruktur Cloudflare dan akan melewati firewall dan verifikasi otomatis yang diizinkan.
Selain itu, subdomain gratis “*workers.dev” ditetapkan untuk pengembang dan memblokirnya akan mengganggu penerapan Cloudflare Workers yang sah, dan memengaruhi layanan yang tidak berbahaya.
Para peneliti menggarisbawahi bahwa mekanisme komunikasi di msaRAT memungkinkannya untuk mengontrol pertukaran C2 tanpa menyentuh jaringan secara langsung dan menguburnya dalam lalu lintas web normal.
Laporan dari Cisco Talos membagikan daftar lengkap indikator kompromi (IoC) terkait dengan serangan menggunakan serangan pintu belakang msaRAT.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
