Neue msaRAT-Malware nutzt Chrome und Edge, um C2-Datenverkehr zu verbergen

Die Ransomware-Gruppe Chaos setzt eine neue, in Rust entwickelte Backdoor namens msaRAT ein, um Command-and-Control-Verkehr (C2) innerhalb der Aktivitäten von Google Chrome und Microsoft Edge zu verbergen.

Die msaRAT-Malware startet eine Headless-Browsersitzung und nutzt das Chrome DevTools Protocol, um mit einer von den Angreifern kontrollierten Infrastruktur zu kommunizieren. Da der Datenverkehr über den Browser statt über eine direkte Verbindung zu einem C2-Server geleitet wird, ist die Erkennung deutlich schwieriger.

Forscher stellten außerdem fest, dass die Malware Cloudflare Workers und die TURN-Server von Twilio nutzt, um die Infrastruktur der Angreifer zu verschleiern und direkte Verbindungen zum bösartigen Server zu verhindern.

msaRAT nutzt Browser als C2-Proxy

Nach dem Start sucht msaRAT auf dem kompromittierten Gerät nach Google Chrome oder Microsoft Edge.

Anschließend startet die Malware den Browser im Headless-Modus, sodass er ohne sichtbares Browserfenster ausgeführt wird. Danach aktiviert sie die Remote-Debugging-Schnittstelle des Browsers und verbindet sich über das Chrome DevTools Protocol.

Die Backdoor öffnet einen neuen Browser-Tab und injiziert JavaScript mithilfe von DevTools-Befehlen. Dieser Code erstellt den Kommunikationskanal, umgeht die Content Security Policy von Chrome und registriert Funktionen für die weitere Kommunikation.

Dadurch kann die Malware Befehle und Daten austauschen, ohne eine direkte Netzwerkverbindung zwischen dem infizierten System und dem Server des Angreifers aufzubauen.

Cloudflare und Twilio verschleiern die Infrastruktur

Der Browser kontaktiert einen Cloudflare-Workers-Endpunkt, um die Informationen abzurufen, die für den Aufbau einer verschlüsselten WebRTC-Verbindung erforderlich sind.

Die Forscher erklären, dass msaRAT zwei Verschlüsselungsebenen verwendet. WebRTC stellt über den Browser eine DTLS-Verschlüsselung bereit, während die Malware zusätzlich ChaCha20-Poly1305 mit einem ECDH-Schlüsselaustausch einsetzt.

Der Datenverkehr wird über die TURN-Server von Twilio geleitet, anstatt direkte WebRTC-Peer-to-Peer-Verbindungen zuzulassen.

Normalerweise kann WebRTC eine direkte Verbindung zwischen zwei Endpunkten herstellen. msaRAT lässt jedoch absichtlich die Verbindungsinformationen weg, die dies ermöglichen würden. Dadurch wird die gesamte Kommunikation über den TURN-Relay-Dienst geleitet.

Dieses Design verhindert, dass die tatsächliche IP-Adresse des Angreifers im Netzwerkverkehr erscheint. Stattdessen sehen Verteidiger lediglich Verbindungen zu legitimer Infrastruktur von Cloudflare und Twilio.

Chaos-Ransomware setzt auf Phishing-Angriffe

Chaos tauchte Anfang 2025 auf und steht nicht mit der älteren Ransomware-Familie gleichen Namens in Verbindung.

Frühere Untersuchungen brachten die Aktivitäten von Chaos mit den iranisch unterstützten Bedrohungsakteuren MuddyWater in Verbindung. Diese sollen die Ransomware-Kampagne genutzt haben, um Cyber-Spionage als finanziell motivierte Kriminalität zu tarnen.

Neuere Angriffe begannen mit E-Mail-Phishing oder Voice-Phishing (Vishing). Anschließend installierten die Angreifer Fernverwaltungssoftware, um den Zugriff auf die Umgebung des Opfers aufrechtzuerhalten.

Nachdem sie Zugriff erlangt hatten, luden die Täter ein MSI-Installationsprogramm herunter, das als Windows-Update getarnt war. Dieses lud die msaRAT-Payload, die als lib.dll identifiziert wurde, direkt in den Systemspeicher.

Browserbasierter C2 erschwert die Erkennung

Die msaRAT-Malware unterteilt ihre Kommunikation in Datenpakete, sogenannte Frames. Diese unterstützen unter anderem den Schlüsselaustausch, das Öffnen und Schließen von Kommunikationskanälen, das Zurücksetzen von Sitzungen sowie die Ausführung von Windows-Befehlen.

Indem die Malware ihren Datenverkehr innerhalb normaler Browserprozesse und legitimer Webdienste verbirgt, kann sie sich in Netzwerkaktivitäten einfügen, die viele Unternehmen bereits durch Firewalls und Sicherheitslösungen zulassen.

Auch das Blockieren der kostenlosen workers.dev-Subdomains von Cloudflare ist schwierig. Zahlreiche legitime Entwickler und Dienste nutzen Cloudflare Workers, sodass umfassende Sperren den regulären Geschäftsbetrieb beeinträchtigen könnten.

Sicherheitsteams sollten daher unerwartete Headless-Prozesse von Chrome oder Edge, ungewöhnliche Browser-Debugging-Aktivitäten sowie verdächtige ausgehende Verbindungen zu Cloudflare Workers oder TURN-Relay-Diensten untersuchen. Die msaRAT-Malware zeigt, wie Angreifer vertrauenswürdige Browsertechnologien missbrauchen können, um ihren Command-and-Control-Datenverkehr zu verschleiern.