O grupo de ransomware Chaos está usando uma nova backdoor chamada msaRAT, que oculta a comunicação de comando e controle, ou C2, ao rotear o tráfego por meio dos navegadores Chrome ou Edge.
O malware foi escrito em Rust e usa o Chrome DevTools Protocol, ou CDP, para controlar uma sessão de navegador em modo headless e estabelecer conexão com o servidor do invasor.
Como toda a comunicação é encaminhada pelo navegador, o malware não faz conexões diretas com a infraestrutura de C2, o que reduz significativamente o risco de detecção.
O grupo de ransomware Chaos surgiu no início de 2025 e não tem relação com a família de ransomware de mesmo nome que existia desde 2021.
No começo deste ano, pesquisadores da Rapid7 descobriram que o Chaos estava sendo aproveitado pelos hackers iranianos apoiados pelo Estado, conhecidos como MuddyWater, para disfarçar operações de ciberespionagem como ataques motivados por ganho financeiro.
Ataques mais recentes do Chaos observados pela equipe de pesquisa da Cisco Talos começaram por e-mail ou voice phishing e seguiram com a instalação de software de administração remota para estabelecer persistência.
Depois de entrar no ambiente, o invasor baixou um instalador MSI que se passava por uma atualização do Windows e carregava o msaRAT, identificado como lib.dll, diretamente na memória do sistema.
Após ser executado, o msaRAT procura por Chrome ou Microsoft Edge e inicia o navegador em modo headless, no qual o processo é aberto sem janela visível.
Em seguida, ele ativa a interface de depuração remota do navegador e se conecta a ela por CDP.
Depois dessa etapa, abre uma nova aba e injeta JavaScript nela usando comandos de CDP.
O JavaScript injetado é responsável por montar o canal de comunicação, contornar a Política de Segurança de Conteúdo do Chrome, conhecida como CSP, e registrar vários vínculos de CDP que permitem as comunicações.
Quando a configuração inicial é concluída, o navegador se conecta a um endpoint do Cloudflare Workers, em is-01-ast[.]ols-img-12[.]workers[.]dev, para obter informações de conexão WebRTC e estabelecer um canal criptografado.
A Talos explica que há duas camadas de criptografia, a DTLS do WebRTC, fornecida automaticamente pelo navegador, e a chave ChaCha20-Poly1305 + ECDH, implementada pelo msaRAT.
A comunicação é retransmitida por servidores Twilio TURN, sigla para Traversal Using Relays around NAT, com uma configuração específica para evitar conexões diretas entre pares.
“Ao omitir intencionalmente os candidatos ICE que normalmente estão presentes em comunicações WebRTC padrão, as conexões P2P são impedidas de se estabelecer, resultando em uma arquitetura em que todas as comunicações são sempre roteadas por TURN”, explicou a Cisco.
“Ao rotear o tráfego pelo serviço legítimo da Twilio, o verdadeiro endereço IP do servidor do invasor nunca aparece no tráfego de rede, e a infraestrutura em dupla camada, que combina Twilio com Cloudflare Workers, torna significativamente difícil rastrear a infraestrutura do invasor.”
Os pesquisadores documentaram como o sistema de troca de dados funciona ao dividir as mensagens em blocos chamados frames, que incluem trocas de chaves, abertura e fechamento de canais, redefinição de sessões e execução de comandos do Windows.
Ao usar o Cloudflare Workers como relé de sinalização, o invasor garante que seu servidor permaneça protegido, já que o endereço IP de destino é atribuído à infraestrutura da Cloudflare e passa por verificações automáticas de firewall e allowlist.
Além disso, o subdomínio gratuito *.workers.dev é destinado a desenvolvedores, e bloqueá-lo causaria interrupção em implantações legítimas do Cloudflare Workers, além de afetar serviços benignos.
Os pesquisadores destacam que o mecanismo de comunicação do msaRAT permite controlar as trocas de C2 sem tocar diretamente na rede e escondê-las no tráfego normal da web.
O relatório da Cisco Talos traz uma lista completa de indicadores de comprometimento, ou IoCs, associados aos ataques que usam a backdoor msaRAT.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...