Uma nova variante de malware conhecida como msaRAT foi identificada, utilizando navegadores Chrome e Edge para esconder seu tráfego de comando e controle (C2). A gangue de ransomware Chaos está empregando essa técnica para evitar detecção por soluções de segurança tradicionais que monitoram conexões de rede.
Descoberta e escopo
O malware foi desenvolvido para se disfarçar como tráfego legítimo de navegação web. Ao rotear o tráfego C2 através dos navegadores, os atacantes dificultam a identificação de comunicações maliciosas, aproveitando-se da confiança que as ferramentas de segurança depositam em protocolos HTTP/HTTPS padrão.
Vetor e exploração
A técnica envolve a injeção de código malicioso que intercepta as requisições do navegador. Isso permite que o malware se comunique com servidores de comando sem levantar suspeitas, mesmo em ambientes com monitoramento de tráfego de rede avançado.
Evidências e limites
Os analistas de segurança observaram que o msaRAT é capaz de manter conexões persistentes através de múltiplos navegadores. Isso aumenta a resiliência do ataque, pois a interrupção de um navegador não necessariamente corta a comunicação com o servidor de comando.
Impacto e alcance
Organizações que utilizam Chrome ou Edge como navegadores padrão estão em risco. A técnica é particularmente eficaz contra ambientes corporativos onde o tráfego de navegador é amplamente permitido e monitorado de forma menos rigorosa.
Medidas de mitigação recomendadas
- Implementar soluções de detecção de tráfego C2 baseadas em comportamento.
- Monitorar anomalias no uso de recursos de navegador.
- Atualizar extensões e plugins de segurança.
- Isolar sistemas críticos em redes segmentadas.
Comparação com ataques anteriores
Esta técnica lembra campanhas anteriores onde malware utilizava serviços legítimos de nuvem para esconder comunicação. No entanto, o uso de navegadores locais adiciona uma camada de complexidade, exigindo análise de tráfego mais granular.
O que os CISOs devem fazer imediatamente
Revisar logs de rede para identificar padrões de tráfego incomuns em navegadores. Considerar a implementação de soluções de segurança de endpoint que monitoram o comportamento de processos de navegador.