Le malware msaRAT détourne les navigateurs pour masquer ses communications

Le groupe de ransomware Chaos utilise un nouveau logiciel malveillant, msaRAT, écrit en Rust, pour établir des connexions de commande et de contrôle (C2) furtives. En exploitant le protocole de débogage des navigateurs Chrome et Edge, le malware évite toute connexion réseau directe, rendant sa détection particulièrement difficile.

Points clés :

• Méthode d’infection : Le malware est déployé via des campagnes de phishing (email/voix), suivi de l’installation d’un MSI déguisé en mise à jour Windows qui charge le module malveillant en mémoire vive.
• Détournement du navigateur : msaRAT lance une instance du navigateur en mode “headless” (sans interface) et utilise le Chrome DevTools Protocol (CDP) pour injecter du JavaScript.
• Infrastructure C2 furtive : Les communications sont relayées via les serveurs TURN de Twilio et masquées par les Workers Cloudflare. Ce schéma permet d’utiliser des services légitimes pour faire transiter le trafic, contournant ainsi les pare-feux et les listes d’autorisation.
• Chiffrement : Le flux de données bénéficie d’une double couche de chiffrement (WebRTC DTLS natif du navigateur, complété par un chiffrement personnalisé ChaCha20-Poly1305 + ECDH).

Vulnérabilités :

• Aucune CVE spécifique n’est exploitée ; le malware détourne des fonctionnalités légitimes du navigateur (CDP et WebRTC) pour orchestrer ses activités malveillantes.

Recommandations :

• Surveillance du réseau : Surveiller les connexions inhabituelles vers les services de relais (type Twilio TURN) et les points de terminaison Cloudflare Workers qui ne correspondent pas à des usages métiers légitimes.
• Gestion des endpoints : Bloquer l’exécution de processus de navigateur avec des flags de débogage (ex: --remote-debugging-port) non autorisés par la politique de sécurité.
• Analyse comportementale : Détecter l’exécution de processus suspects en mémoire ou le chargement de fichiers MSI non signés ou suspects prétendant être des mises à jour Windows.
• Utilisation des IoCs : Appliquer les indicateurs de compromission fournis par Cisco Talos pour identifier les traces d’infection au sein de l’environnement.

Source