Malware msaRAT Baru Pakai Chrome dan Edge untuk Sembunyikan Trafik C2
Kelompok ransomware Chaos terpantau menggunakan backdoor baru bernama msaRAT yang menyembunyikan komunikasi command-and-control (C2) dengan merutekannya melalui browser Chrome atau Microsoft Edge.
Malware ini ditulis dalam bahasa Rust dan memanfaatkan Chrome DevTools Protocol (CDP) untuk mengendalikan sesi browser headless. Dengan pendekatan tersebut, msaRAT dapat membangun koneksi ke server penyerang tanpa membuat koneksi langsung dari proses malware ke infrastruktur C2.
Teknik ini membuat aktivitas jaringan lebih sulit dibedakan dari lalu lintas web normal. Karena komunikasi berjalan melalui browser, peluang deteksi oleh sistem keamanan yang mencari koneksi langsung ke server berbahaya dapat berkurang secara signifikan.
Rantai Serangan Dimulai dari Phishing
Operasi Chaos yang diamati dalam laporan terbaru dimulai melalui email atau voice phishing, kemudian berlanjut dengan pemasangan remote management software untuk mempertahankan akses. Setelah berada di lingkungan target, pelaku mengunduh installer MSI yang menyamar sebagai pembaruan Windows.
Installer tersebut memuat msaRAT dalam bentuk lib.dll dan menjalankannya langsung di memori sistem. Kelompok Chaos yang muncul pada awal 2025 ini tidak terkait dengan keluarga ransomware bernama sama yang telah ada sejak 2021.
Browser Headless Dipakai untuk Jalur C2
Setelah aktif, msaRAT mencari Chrome atau Microsoft Edge dan menjalankan browser dalam mode headless, sehingga proses berjalan tanpa jendela yang terlihat oleh pengguna. Malware kemudian mengaktifkan remote debugging interface dan terhubung melalui CDP.
Pada tahap berikutnya, msaRAT membuka tab browser baru dan menyuntikkan JavaScript melalui perintah CDP. JavaScript tersebut membangun kanal komunikasi, melewati Content Security Policy (CSP) Chrome, dan mendaftarkan beberapa binding CDP yang digunakan untuk pertukaran data.
Browser lalu menghubungi endpoint Cloudflare Workers untuk memperoleh informasi koneksi WebRTC dan membangun kanal terenkripsi. Mekanisme ini memiliki dua lapisan enkripsi, yakni DTLS dari WebRTC serta ChaCha20-Poly1305 dengan ECDH yang diimplementasikan oleh msaRAT.
Twilio TURN dan Cloudflare Workers Memperumit Pelacakan
Komunikasi msaRAT direlay melalui server Twilio TURN dengan konfigurasi yang mencegah koneksi peer-to-peer langsung. Dengan menghilangkan ICE candidates yang biasanya ada pada komunikasi WebRTC standar, seluruh lalu lintas dipaksa melewati TURN.
Penggunaan layanan sah seperti Twilio dan Cloudflare Workers membuat alamat IP server penyerang tidak muncul langsung dalam lalu lintas jaringan. Domain workers.dev juga lazim dipakai untuk deployment Cloudflare Workers yang sah, sehingga pemblokiran menyeluruh dapat mengganggu layanan legitimate.
Sistem pertukaran data msaRAT memecah pesan menjadi frame yang dapat digunakan untuk key exchange, membuka atau menutup channel, reset sesi, hingga eksekusi perintah Windows. Kombinasi browser headless, WebRTC, TURN relay, dan Cloudflare Workers membuat backdoor ini menjadi contoh taktik living-off-the-browser yang semakin sulit dilacak hanya dari pola koneksi jaringan.
Sumber: Cisco Talos
