Chaos ransomware dùng msaRAT để chuyển lưu lượng C2 qua Chrome/Edge headless
"Cisco Talos reported that the Chaos ransomware group used a Rust implant called msaRAT to route command-and-control traffic through a victim's headless Chrome or Edge browser via the Chrome DevTools Protocol and WebRTC. The malware staged via an MSI installer and curl download, then used Cloudflare Workers for signaling and Twilio TURN relays for transport, with no browser vulnerability involved; defenders are advised to hunt for headless browser launches, loopback CDP traffic, and the published network IOCs."
Kỹ thuật làm C2 “ẩn” trong luồng hợp lệ của Chrome/Edge headless và WebRTC khiến giám sát theo IP/endpoint truyền thống kém hiệu quả; điểm mấu chốt là CDP loopback (127.0.0.1) và WebRTC data channel qua TURN.
Tăng khả năng duy trì truy cập sau xâm nhập và làm khó phát hiện sớm, từ đó có thể rút ngắn thời gian chuẩn bị cho mã hóa; tác động phụ thuộc vào mức độ SOC phát hiện được hành vi headless + CDP và kiểm soát egress theo ngữ cảnh.
Cisco Talos cho biết nhóm Chaos ransomware sử dụng một implant Rust tên msaRAT để điều hướng lưu lượng command-and-control (C2) thông qua chính trình duyệt của nạn nhân. Implant không tự mở kết nối ra ngoài; thay vào đó chỉ giao tiếp nội bộ với 127.0.0.1, rồi khởi chạy Chrome/Edge ở chế độ headless và điều khiển qua Chrome DevTools Protocol (CDP).
Mọi thông điệp C2 được đẩy ra qua WebRTC data channel, trong đó tín hiệu (signaling) do Cloudflare Workers xử lý và kênh vận chuyển được relay qua Twilio TURN. Vì vậy, quan sát mạng thường thấy lưu lượng từ tiến trình trình duyệt tới Cloudflare và Twilio, không lộ địa chỉ máy chủ C2 của kẻ tấn công.
Về triển khai, msaRAT được cài qua MSI (tải bằng curl), kèm dữ liệu giả lập cập nhật Windows; cuối cài đặt nạp một DLL nhúng vào bộ nhớ để chạy msaRAT (Tokio runtime). Implant tiêm JavaScript qua CDP (Runtime.addBinding/Runtime.evaluate), lấy cấu hình STUN/TURN từ Worker và thực thi lệnh bằng cmd.exe.
Khuyến nghị: ưu tiên săn tìm tiến trình Chrome/Edge headless được khởi chạy bởi installer/service không tương tác, đối chiếu với CDP loopback và dấu hiệu WebRTC; rà soát các IOC mạng do Talos công bố và theo dõi hành vi Runtime.addBinding/Runtime.evaluate.