BEDROHUNG
Die Chaos-Ransomware-Gruppe setzt nach Angaben von Cisco Talos eine neue, in Rust geschriebene Backdoor namens msaRAT ein. Die Malware nutzt headless Instanzen von Google Chrome oder Microsoft Edge, um die Kommunikation mit einem Command-and-Control(-C2)-Server zu verschleiern. Da die eigentliche Malware keine direkte Verbindung zum Angreifer aufbaut, erscheint der Netzwerkverkehr zunächst wie reguläre Browserkommunikation.
In den beobachteten Angriffen lud zunächst ein als Windows-Update getarnter MSI-Installer die Backdoor-Komponente lib.dll in den Arbeitsspeicher. Die Malware sucht daraufhin nach Chrome oder Microsoft Edge und startet den Browser im Headless-Modus, wodurch der Prozess ohne sichtbares Fenster ausgeführt wird. Gesteuert wird der Browser über das Chrome DevTools-Protocol und mithilfe injizierten Javascripts wird ein Kommunikationskanal aufgebaut. Um Verbindungsinformationen zu erhalten, kontaktiert der Browser einen Cloudflare-Worker-Endpunkt. Die weitere Kommunikation läuft über einen WebRTC-Datenkanal und wird über Twilio TURN-Server weitergeleitet, wodurch direkte Peer-to-Peer-Verbindungen vermieden werden.
Nach Informationen von Talos bestehen dabei zwei Verschlüsselungsebenen: die vom Browser bereitgestellte WebRTC DTLS-Verschlüsselung sowie eine von msaRAT implementierte Verschlüsselung auf Basis von ChaCha20-Poly1305 und ECDH. Die Zieladresse ist indes der Cloudflare-Infrastruktur zugeordnet und wird somit nicht automatisch durch Firewalls und Whitelists geblockt.
Da der ausgehende Verkehr legitimem Browser-, Cloudflare- und Twilio-Traffic ähneln kann, wird Administratoren empfohlen, ungewöhnliche headless Browserstarts und verdächtige Browserprozesse auf Endpunkten zu überwachen. Darüber hinaus können die von Talos bereitgestellten Indicators of Compromise (IoC) verwendet werden, um eine mögliche Kompromittierung frühzeitig zu erkennen.
PRÄVENTION & DETEKTION
Mit modernen EDR-Lösungen behalten Sie Ihre Endgeräte im Blick. Verdächtige Aktivitäten werden früh erkannt, Bedrohungen schnell analysiert und gezielt behoben. So schützen Sie Ihr Unternehmen proaktiv vor Cyberangriffen.
Autor: Michael Niers
