🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
A gangue do ransomware Chaos está usando um novo backdoor chamado msaRAT que oculta a comunicação de comando e controle (C2), roteando-a através dos navegadores Chrome ou Edge.
O malware é escrito em Rust e usa o protocolo Chrome DevTools (CDP) para controlar uma sessão de navegador headless e estabelecer uma conexão com o servidor do invasor.
Como o malware encaminha toda a comunicação através do navegador, não estabelece qualquer ligação direta à infraestrutura C2, reduzindo significativamente o risco de deteção.
O grupo de ransomware Chaos surgiu no início de 2025, sem relação com a família de ransomware de mesmo nome que existia desde 2021.
No início deste ano, investigadores da Rapid7 descobriram que o Chaos foi aproveitado pelos hackers apoiados pelo Estado iraniano ‘MuddyWater’ para disfarçar as suas operações de ciberespionagem como ataques com motivação financeira.
Os ataques mais recentes do ransomware Chaos observados pela equipe de pesquisa do Cisco Talos começaram por e-mail ou phishing de voz e continuaram com a instalação de software de gerenciamento remoto para estabelecer persistência.
Uma vez dentro do ambiente, o invasor baixou um instalador MSI que se passava por uma atualização do Windows, que carrega msaRAT (lib.dll) diretamente na memória do sistema.
Cadeia de infecçãoFonte: Cisco Talos
Sequestrando o Chrome
Uma vez iniciado, o msaRAT procura o Chrome ou Microsoft Edge e inicia o navegador no modo headless, onde o processo começa sem nenhuma janela visível.
Em seguida, ele habilita a interface de depuração remota do navegador e se conecta a ele via CDP. Após esta etapa, ele abre uma nova aba do navegador e injeta JavaScript nela usando comandos CDP.
O JavaScript injetado é responsável por construir o canal de comunicação, contornando a Política de Segurança de Conteúdo (CSP) do Chrome e registrando diversas ligações de CDP que permitem comunicações.
Assim que a configuração inicial for concluída, o navegador entrará em contato com um endpoint Cloudflare Workers (is-01-ast[.]ols-img-12[.]workers[.]dev) para obter informações de conexão WebRTC e estabelecer um canal criptografado.
Talos explica que existem duas camadas de criptografia: o WebRTC DTLS, fornecido automaticamente pelo navegador, e a chave ChaCha20-Poly1305 + ECDH, implementada pelo msaRAT.
Visão geral do esquema de comunicaçõesFonte: Cisco Talos
A comunicação é retransmitida por meio de servidores Twilio TURN (Traversal Using Relays around NAT) com uma configuração específica para evitar conexões ponto a ponto diretas.
“Ao omitir intencionalmente os candidatos ICE que normalmente estão presentes nas comunicações WebRTC padrão, as conexões P2P são impedidas de serem estabelecidas, resultando em um design onde todas as comunicações são sempre roteadas através do TURN”, explica Cisco.
“Ao rotear o tráfego através do serviço legítimo do Twilio, o endereço IP real do servidor do invasor nunca aparece no tráfego de rede, e a infraestrutura de camada dupla que combina o Twilio com o Cloudflare Cisco Confidential Workers torna significativamente difícil rastrear a infraestrutura do invasor.”
Os pesquisadores documentaram como o sistema de troca de dados funciona, dividindo as mensagens em pedaços chamados “frames”, que incluem trocas de chaves, abertura/fechamento de canais, redefinições de sessão e execução de comandos do Windows.
Interpretação de frames documentadosFonte: Cisco Talos
Ao usar Cloudflare Workers como retransmissor de sinalização, o invasor garante que seu servidor permaneça protegido, pois o endereço IP de destino é atribuído à infraestrutura da Cloudflare e passará pela verificação automática do firewall e da lista de permissões.
Além disso, o subdomínio gratuito "*workers.dev" é atribuído aos desenvolvedores, e bloqueá-lo interromperia implantações legítimas do Cloudflare Workers e afetaria serviços benignos.
Os pesquisadores sublinham que o mecanismo de comunicação do msaRAT permite controlar as trocas C2 sem tocar diretamente na rede e enterrá-la no tráfego normal da web.
O relatório da Cisco Talos compartilha uma lista completa de indicadores de comprometimento (IoCs) associados a ataques usando ataques backdoor msaRAT.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
O malware é escrito em Rust e usa o protocolo Chrome DevTools (CDP) para controlar uma sessão de navegador headless e estabelecer uma conexão com o servidor do invasor.
Como o malware encaminha toda a comunicação através do navegador, não estabelece qualquer ligação direta à infraestrutura C2, reduzindo significativamente o risco de deteção.
O grupo de ransomware Chaos surgiu no início de 2025, sem relação com a família de ransomware de mesmo nome que existia desde 2021.
No início deste ano, investigadores da Rapid7 descobriram que o Chaos foi aproveitado pelos hackers apoiados pelo Estado iraniano ‘MuddyWater’ para disfarçar as suas operações de ciberespionagem como ataques com motivação financeira.
Os ataques mais recentes do ransomware Chaos observados pela equipe de pesquisa do Cisco Talos começaram por e-mail ou phishing de voz e continuaram com a instalação de software de gerenciamento remoto para estabelecer persistência.
Uma vez dentro do ambiente, o invasor baixou um instalador MSI que se passava por uma atualização do Windows, que carrega msaRAT (lib.dll) diretamente na memória do sistema.
Cadeia de infecçãoFonte: Cisco Talos
Sequestrando o Chrome
Uma vez iniciado, o msaRAT procura o Chrome ou Microsoft Edge e inicia o navegador no modo headless, onde o processo começa sem nenhuma janela visível.
Em seguida, ele habilita a interface de depuração remota do navegador e se conecta a ele via CDP. Após esta etapa, ele abre uma nova aba do navegador e injeta JavaScript nela usando comandos CDP.
O JavaScript injetado é responsável por construir o canal de comunicação, contornando a Política de Segurança de Conteúdo (CSP) do Chrome e registrando diversas ligações de CDP que permitem comunicações.
Assim que a configuração inicial for concluída, o navegador entrará em contato com um endpoint Cloudflare Workers (is-01-ast[.]ols-img-12[.]workers[.]dev) para obter informações de conexão WebRTC e estabelecer um canal criptografado.
Talos explica que existem duas camadas de criptografia: o WebRTC DTLS, fornecido automaticamente pelo navegador, e a chave ChaCha20-Poly1305 + ECDH, implementada pelo msaRAT.
Visão geral do esquema de comunicaçõesFonte: Cisco Talos
A comunicação é retransmitida por meio de servidores Twilio TURN (Traversal Using Relays around NAT) com uma configuração específica para evitar conexões ponto a ponto diretas.
“Ao omitir intencionalmente os candidatos ICE que normalmente estão presentes nas comunicações WebRTC padrão, as conexões P2P são impedidas de serem estabelecidas, resultando em um design onde todas as comunicações são sempre roteadas através do TURN”, explica Cisco.
“Ao rotear o tráfego através do serviço legítimo do Twilio, o endereço IP real do servidor do invasor nunca aparece no tráfego de rede, e a infraestrutura de camada dupla que combina o Twilio com o Cloudflare Cisco Confidential Workers torna significativamente difícil rastrear a infraestrutura do invasor.”
Os pesquisadores documentaram como o sistema de troca de dados funciona, dividindo as mensagens em pedaços chamados “frames”, que incluem trocas de chaves, abertura/fechamento de canais, redefinições de sessão e execução de comandos do Windows.
Interpretação de frames documentadosFonte: Cisco Talos
Ao usar Cloudflare Workers como retransmissor de sinalização, o invasor garante que seu servidor permaneça protegido, pois o endereço IP de destino é atribuído à infraestrutura da Cloudflare e passará pela verificação automática do firewall e da lista de permissões.
Além disso, o subdomínio gratuito "*workers.dev" é atribuído aos desenvolvedores, e bloqueá-lo interromperia implantações legítimas do Cloudflare Workers e afetaria serviços benignos.
Os pesquisadores sublinham que o mecanismo de comunicação do msaRAT permite controlar as trocas C2 sem tocar diretamente na rede e enterrá-la no tráfego normal da web.
O relatório da Cisco Talos compartilha uma lista completa de indicadores de comprometimento (IoCs) associados a ataques usando ataques backdoor msaRAT.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
#samirnews #samir #news #boletimtec #novo #malware #msarat #usa #navegadores #chrome #e #edge #para #rotear #o #tráfego #c2
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário