Chaosランサムウェア、ChromeとEdgeを利用した検知回避型msaRAT攻撃を確認

Chaosランサムウェアグループ、ChromeとEdgeを利用したmsaRATのC2通信手法を確認

Chaosランサムウェアグループが、msaRATを用いてChromeおよびEdgeブラウザ経由でC2（コマンド・アンド・コントロール）通信を行う新たな攻撃手法を使用していることが確認された。この手法では、ブラウザのデバッグAPIを悪用してブラウザを制御し、攻撃者のサーバー情報を直接残さずにTwilioのTURNサービスを介してデータを送信する。さらに、被害端末ではブラウザをヘッドレスモードで実行することで、検知を回避する仕組みとなっている。

msaRATは、Chrome DevTools Protocol（CDP）を利用してデバッグポート経由でC2コマンドを処理する。通信はTwilioのインフラを経由するため、ネットワーク監視において正当な通信として認識されやすい。また、一般的なcurlコマンドを利用してシステムへダウンロードされた後、「–headless」および「–remote-debugging-port」オプションを指定してブラウザをデバッグモードで起動する。この仕組みにより、通常のブラウザ通信に紛れ込み、初期段階での検知を困難にしている。

Cisco Talosによると、msaRATはChromeやEdgeの脆弱性を悪用することなくシステムを制御できるため、ブラウザのセキュリティ更新だけでは十分な対策とはならない。さらに、Cloudflare WorkersやTwilio TURNサービスといった正規のクラウドサービスが悪用される可能性も指摘されている。こうした攻撃への対策としては、不審なプロセスの挙動や新たなブラウザインスタンスの生成、異常なデバッグ機能の利用を継続的に監視することが重要とされている。