Chaosランサムウェアギャングが、Chrome、あるいはEdgeブラウザ経由でコマンド&コントロール(C2)通信を隠蔽する、msaRATと呼ばれる新種のバックドアを使用していることが分かりました。
このマルウェアはRustで書かれており、Chrome DevTools Protocol(CDP)を利用してヘッドレスブラウザセッションを制御し、攻撃者のサーバーへの接続を確立します。
マルウェアはすべての通信をブラウザ経由でルーティングするため、C2インフラストラクチャへの直接接続を一切行わず、検知されるリスクを大幅に低減させています。
Chaosランサムウェアグループは2025年初頭に登場したグループで、2021年から存在する同名のランサムウェアファミリーとは無関係です。
今年に入ってから、Rapid7の研究者らは、イランの国家支援を受けたハッカー集団「MuddyWater」がChaosを利用し、金銭目的の攻撃を装ってサイバースパイ活動を偽装していたことを発見しています。
Cisco Talosの研究チームが観測した最近のChaosランサムウェア攻撃では、メールやボイスフィッシングを侵入口とし、その後リモート管理ソフトウェアをインストールして永続性を確立するという手口が確認されています。
環境への侵入後、攻撃者はWindowsの更新プログラムを装ったMSIインストーラーをダウンロードさせ、これによってmsaRAT(lib.dll)がシステムメモリ上に直接読み込まれます。
Chromeの乗っ取り
起動すると、msaRATはChromeまたはMicrosoft Edgeを探索し、可視ウィンドウを表示しないヘッドレスモードでブラウザを起動します。
続いて、ブラウザのリモートデバッグインターフェースを有効化してCDP経由で接続します。この後、新しいブラウザタブを開き、CDPコマンドを使ってJavaScriptを注入します。
注入されたJavaScriptは、通信チャネルの構築、ChromeのContent Security Policy(CSP)の回避、そして通信を可能にする複数のCDPバインディングの登録を担っています。
初期セットアップが完了すると、ブラウザはCloudflare Workersのエンドポイント(is-01-ast[.]ols-img-12[.]workers[.]dev)に接続し、WebRTC接続情報を取得して暗号化チャネルを確立します。
Talosの説明によると、暗号化は2層構造になっています。ブラウザが自動的に提供するWebRTC DTLSと、msaRATが実装するChaCha20-Poly1305＋ECDH鍵の2つです。
通信はTwilio TURN(Traversal Using Relays around NAT)サーバーを介して中継されますが、直接のピアツーピア接続を避けるよう特別な設定が施されています。
「標準的なWebRTC通信では通常存在するICE候補を意図的に省略することで、P2P接続の確立を防ぎ、すべての通信が常にTURN経由でルーティングされる設計になっています」とCiscoは説明しています。
「トラフィックをTwilioの正規サービス経由でルーティングすることで、攻撃者のサーバーの実際のIPアドレスがネットワークトラフィックに一切現れません。さらに、TwilioとCloudflare Workersを組み合わせた二重層のインフラストラクチャにより、攻撃者のインフラを追跡することが著しく困難になっています」
研究者らは、データ交換の仕組みについても詳細に文書化しています。メッセージは「フレーム」と呼ばれるチャンクに分割され、鍵交換、チャネルの開閉、セッションのリセット、Windowsコマンドの実行などが含まれます。
Cloudflare Workersをシグナリングの中継役として利用することで、攻撃者は自分のサーバーの安全を確保しています。送信先IPアドレスがCloudflareのインフラストラクチャに割り当てられているため、ファイアウォールや許可リストによる自動検証を通過してしまうのです。
また、「*workers.dev」という無料サブドメインは開発者向けに割り当てられているものであり、これをブロックしてしまうと正規のCloudflare Workersのデプロイメントを妨げ、無害なサービスにも影響が及んでしまいます。
研究者らは、msaRATに実装されているこの通信メカニズムにより、ネットワークに直接触れることなくC2通信を制御し、通常のWebトラフィックの中に紛れ込ませることが可能になっていると指摘しています。
Cisco Talosのレポートでは、msaRATバックドアを使用した攻撃に関連する侵害指標(IoC)の完全なリストが公開されています。
攻撃者に先んじて、あらゆる防御層をテストする
セキュリティチームが検知できる攻撃の成功例はわずか54%、アラートが上がるのはたった14%に過ぎません。残りは環境内を気づかれることなく通過しています。
Picusのホワイトペーパーでは、breach and attack simulationがSIEMやEDRのルールをどのようにテストし、検知漏れによる脅威の見逃しを防ぐかを解説しています。
