Cisco Talosは、Chaosランサムウェアグループの関与とみられるRust製リモートアクセス型トロイの木馬(RAT)を特定しました。バイナリ内に残されていた4つのバインディング名にちなみ「msaRAT」と名付けられています。このツールは感染端末上で独自のChromeまたはEdgeインスタンスを起動し、両ブラウザに組み込まれたデバッグ用インターフェースであるChrome DevTools Protocolを通じて制御します。ブラウザはその後、WebRTCチャネル経由でコマンド&コントロール(C2)通信をやり取りします。
インストールが完了すると、RATプロセスは自身の通信をすべて127.0.0[.]1上に留めます。外部への通信は正規のブラウザプロセスから発信される仕組みで、まずCloudflareの開発者向けドメインへのHTTPS通信、次にGoogleサーバーへのSTUNリクエスト、そしてTwilioのリレーサーバーへのWebRTC通信という流れになります。シェルコマンドは被害者のホスト上で実行され、その出力も同じ経路で送り返されます。この設計を実現するには、端末上でブラウザを見つけ出す必要があります。
Chaosはランサムウェア・アズ・ア・サービス(RaaS)として活動しており、2025年2月以降の活動が確認されています。初期侵入にはビッシングとスパムメールを用い、その後は二重恐喝の手口を使います。この分析の著者の一人であるCisco Talosの研究者、Michael Szeliga氏に、今回の手口が防御側にとってどのような意味を持つのか、また他のグループがこれに追随する可能性があるのかを尋ねました。
「これは、攻撃者が正規のクラウドサービスやコラボレーションサービスを悪用してC2通信を隠す、防御側がこれまで対処してきた流れの延長線上にあるものです。PraetorianのTURNt研究がMicrosoft TeamsのTURNインフラを使って示したのと同様に、ブラウザを介したC2やそれに類する手法は今後さらに広まると見ています。攻撃者は今後も、信頼されているアプリケーションやサービスの内側に潜み込む方法を探し続けるでしょう。そのため、特にランサムウェア攻撃においては、振る舞いベースの検知の重要性がますます高まっています」とSzeliga氏はHelp Net Securityに語りました。
Windowsアップデートを装って侵入
この手口が始まる時点で、攻撃者はすでに端末へのアクセス権を得ています。curl.exeコマンドにより、Windowsアップデートを装ったMSIファイルがProgramDataに取り込まれます。その後、攻撃者がこれを実行します。URLではポート443が指定されていますが、実際の通信は平文のHTTPであり、プロトコルの中身を検査せずポート番号だけで判定するファイアウォールルールはこれを通過させてしまいます。
インストール処理の最後には、カスタムアクションによってインストーラー内部からDLLがメモリ上に直接ロードされます。このDLLこそがmsaRATです。
msaRAT、ディスク上のブラウザを探索
msaRATは、環境変数から導き出した6つの固定パスをチェックします。ChromeとEdgeそれぞれに割り当てられており、見つからない場合はChrome限定のレジストリ参照にフォールバックします。ブラウザが見つかると、リモートデバッグポートを有効にし、マルウェアが指定するユーザーデータディレクトリを使って、ヘッドレスモードで新しいプロセスを起動します。ブラウザが見つからない場合、C2の仕組み全体が待機状態のまま動きません。
RATはループバックアドレス経由でそのデバッグポートに接続し、起動したインスタンス内にタブを開いて、そのページのContent Security Policyを無効化します。ブラウザ側のJavaScriptが応答報告に使用するコールバックを登録した後、バイナリ内に平文で保存されているJavaScriptを注入します。
ネットワーク上ではブラウザのWebRTC通信にしか見えない
注入されたJavaScriptは、Cloudflare Workersのエンドポイントから接続設定を取得します。この際、OriginヘッダーとRefererヘッダーはMicrosoftのウェブサイトに偽装されています。NATルックアップによるホストの外部アドレスの特定にはGoogleのSTUNサーバーが使われます。シグナリングはCloudflare Workersのエンドポイントを経由して行われ、攻撃者側の応答は直接接続を成立させないよう作られているため、すべての通信がTwilioのTURNリレーを強制的に経由することになります。これにより、攻撃者の実際のサーバーアドレスはパケットキャプチャに現れません。
チャネルが確立すると、Cloudflare Workersはそれ以降の通信には関与しなくなります。シグナリングを断つために*.workers.devを一律にブロックすると、正規のCloudflare Workersを利用しているサービスにも同時に影響が及んでしまいます。
コマンドはcmd.exeとして返ってくる
チャネル内の通信は二重の暗号化がかけられています。トランスポート層は仕様上DTLSで保護されており、これはブラウザが処理します。それに加えて、msaRATはC2接続確立時にネゴシエートした鍵を使い、ペイロードを別途独自に暗号化します。
フレームタイプのうち2種類はコマンド文字列を運び、RATはこれをcmd.exeに渡して実行します。その出力は同じチャネルを通じて送り返されます。残りのフレームは、チャネルの開閉、鍵交換、ブラウザプロセスの終了といった処理を担います。
検知の勝算が最も高いのはホスト側
Szeliga氏に、この脅威を捕捉するうえで最も勝算の高い観測ポイントはどこかを尋ねました。
「これを捕捉する上で最も確実な場所はホスト側、特にブラウザが特定のパラメータ付きで起動される瞬間です。ネットワークの観点から見ると、最初のネゴシエーションはHTTPSで行われます。さらに、WebRTC通信自体がDTLSで暗号化されて通常のトラフィックに紛れ込めるだけでなく、RATはデータにさらに独自の暗号化層を加えています。このケースでは、エンドポイント上でできるだけ早い段階で活動を検知し、遮断することが何より重要です」と同氏は説明しました。
リモートデバッグポートとマルウェアが指定するユーザーデータディレクトリを伴って起動されるChromeまたはEdgeのプロセスは、観測可能な事象であり、これはProgramData内へのMSIファイルの着弾に続いて発生します。Talosは、ClamAVシグネチャ「Win.Downloader.ChaosRaas-10060321-0」を公開しました。侵害指標(IOC)には配信サーバー、シグナリングドメイン、ファイルハッシュが含まれており、TalosのGitHubリポジトリにも掲載されています。シグナリングリクエストにはHeadlessChromeのユーザーエージェントが含まれており、これはネットワーク側から観測できる数少ない痕跡の一つです。残りの痕跡はすべてエンドポイント側に存在します。
翻訳元: https://www.helpnetsecurity.com/2026/07/23/cisco-talos-chaos-ransomware-msarat/
