Malware msaRAT leitet Datenverkehr über Chrome um

Die Ransomware-Gruppe Chaos setzt die neue Malware msaRAT ein. Sie leitet ihren Datenverkehr über Headless-Browser und Cloudflare-Dienste um.

Sicherheitsforscher von Cisco Talos haben eine neue Backdoor namens msaRAT analysiert, die von der Erpressungstrojaner-Gruppe Chaos eingesetzt wird. Der Angriff beginnt in der Regel mit E-Mail- oder Telefon-Phishing. Nach dem Erstzugriff installieren die Angreifer zunächst Fernwartungswerkzeuge zur Absicherung ihres Zugangs im Netzwerk. Anschließend laden sie ein gefälschtes Windows-Update im MSI-Format herunter. Dieses lädt die in Rust geschriebene Malware msaRAT als Bibliothek direkt in den Arbeitsspeicher des kompromittierten Systems.

Browser-Steuerung von Chrome über das DevTools Protocol

Nach der Ausführung sucht msaRAT auf dem System nach den Browsern Google Chrome oder Microsoft Edge. Die Malware startet den jeweiligen Browser im unsichtbaren Headless-Modus ohne Benutzeroberfläche und aktiviert die Fernwartungsschnittstelle. Über das Chrome DevTools Protocol baut msaRAT eine Verbindung zum Browser auf, öffnet ein neues Tab und injiziert JavaScript-Code. Dieser Code umgeht vorhandene Sicherheitsrichtlinien des Browsers und richtet die notwendigen Kommunikationskanäle ein.

Da die gesamte Kommunikation über den offiziellen Browserprozess abgewickelt wird, stellt die Malware keine direkten Netzwerkverbindungen zu Servern der Angreifer her. Dies erschwert die Erkennung durch herkömmliche Sicherheitssoftware auf den betroffenen Systemen erheblich.

Verschlüsselte Umleitung über Cloudflare und Twilio

Für den Datenaustausch kontaktiert der Browser einen Endpunkt des Dienstes Cloudflare Workers. Darüber bezieht die Malware Verbindungsinformationen für das Kommunikationsprotokoll WebRTC. Die Übertragung erfolgt doppelt verschlüsselt: Einerseits nutzt die Software die vom Browser bereitgestellte DTLS-Verschlüsselung, andererseits eine eigene Verschlüsselung mittels ChaCha20-Poly1305 und ECDH. Die Weiterleitung der Daten erfolgt über TURN-Server des Anbieters Twilio. Die Entwickler der Malware haben das System so konfiguriert, dass direkte Peer-to-Peer-Verbindungen unterbunden werden. Die Sicherheitsforscher von Cisco erklären die Funktionsweise folgendermaßen:

„Durch das absichtliche Weglassen der ICE-Kandidaten, die normalerweise in Standard-WebRTC-Kommunikationen vorhanden sind, wird der Aufbau von Peer-to-Peer-Verbindungen verhindert. Dies führt zu einem Design, bei dem die gesamte Kommunikation stets über TURN geleitet wird.“

Cisco

Durch diese Architektur bleibt die tatsächliche IP-Adresse des Befehlsservers im Netzwerkverkehr verborgen, während die Verbindungen zu den genutzten Cloud-Diensten in der Regel von Firewalls als legitim eingestuft werden.

(red)