O grupo de ransomware Chaos utilizou um implant Rust chamado msaRAT para routear tráfego de comando e controle (C2) através do navegador da vítima, especificamente Google Chrome ou Microsoft Edge em modo headless. Esse método permitiu que o malware operasse sem abrir conexões diretas para fora da máquina comprometida. A Cisco Talos identificou o implant em uma máquina Windows comprometida antes da implantação do ransomware.
Detalhes Técnicos
O msaRAT é um implant Rust que conversa apenas com o localhost (127.0.0.1), não estabelecendo conexões externas diretamente.
Ele inicia o Chrome ou Edge em modo headless para routear o tráfego C2, utilizando o navegador da vítima para se comunicar com os controladores do malware.
Esse método permite ao Chaos ransomware evitar detecções baseadas em conexões de rede suspeitas.
O grupo Chaos é conhecido por comprometer sistemas através de ataques de força bruta contra serviços SSH e por fornecer um shell reverso aos seus controladores.
Recomendações
Monitorar o uso de navegadores em modo headless em ambientes de rede.
Implementar detecção de anomalias no tráfego de rede e uso de recursos do sistema.
Manter os sistemas operacionais e aplicativos atualizados.
Utilizar soluções de segurança que detectem e bloqueiem atividades maliciosas associadas a ransomware.
Próximo passo
Analisar logs de rede e sistema para detectar possíveis atividades do msaRAT e Chaos ransomware.
