Il ransomware Chaos sta evolvendo le proprie tecniche di comando e controllo puntando su un approccio living off the browser che rende più difficile individuare il traffico malevolo. Al centro di questa catena c’è msaRAT, un impianto scritto in Rust che viene eseguito su Windows prima della fase di cifratura.
La caratteristica più rilevante è che il malware non apre connessioni in uscita direttamente: il suo processo comunica solo su loopback 127.0.0.1 e delega la comunicazione esterna a un browser legittimo.
msaRAT avvia Google Chrome o Microsoft Edge in modalità headless e li controlla tramite Chrome DevTools Protocol (CDP), sfruttando la porta di debug remota. Per farlo individua i percorsi del browser tramite variabili di ambiente e, in alternativa, tramite registro di sistema. L’avvio avviene con parametri come --headless=new e --remote-debugging-port, usando anche un profilo separato con --user-data-dir per evitare limitazioni introdotte nelle versioni recenti del browser. In questo modo non è necessario accedere al profilo reale della vittima.
Una volta stabilito il controllo del browser, msaRAT interroga endpoint locali come /json/list per ottenere un target debuggabile e si collega via WebSocket. Quindi disabilita i controlli CSP e inietta JavaScript nel contesto del browser usando chiamate tipiche di CDP come Runtime.addBinding e Runtime.evaluate. Il codice JavaScript recupera configurazioni STUN e TURN da un Cloudflare Worker e avvia una connessione WebRTC con canale dati. La segnalazione passa dal Worker, ma il traffico viene poi instradato tramite un relay TURN di Twilio, così in rete si osservano solo connessioni riconducibili a servizi legittimi.
Il canale C2 risulta doppiamente cifrato: prima con DTLS gestito dal browser e poi con un ulteriore livello basato su ChaCha20-Poly1305 con scambio chiavi ECDH. I comandi ricevuti vengono eseguiti tramite cmd.exe con opzioni che riducono l’interattività e migliorano la gestione del flusso, utile anche per trasferimenti affidabili di dati.
La distribuzione iniziale può avvenire con un semplice download via curl di un file MSI mascherato da aggiornamento Windows, che carica una DLL in memoria tramite una custom action. Dal punto di vista della difesa, la priorità è il rilevamento comportamentale: browser headless avviati da processi insoliti, presenza di remote debugging port, traffico loopback verso la porta di debug e uso anomalo di WebRTC verso infrastrutture TURN.