O grupo de ransomware Chaos continua refinando suas técnicas de evasão para dificultar a detecção por soluções tradicionais de segurança. Em uma pesquisa recente, a Cisco Talos revelou que os operadores passaram a utilizar o msaRAT, um implante (backdoor) desenvolvido em Rust, capaz de transformar navegadores baseados em Chromium, como Google Chrome e Microsoft Edge, em canais de comando e controle (C2) praticamente indistinguíveis do tráfego legítimo.
A descoberta chama a atenção porque o malware deixa de depender de conexões diretas para servidores maliciosos e passa a explorar recursos presentes no próprio navegador. Com auxílio do Chrome DevTools Protocol (CDP), além de tecnologias como WebRTC, Cloudflare Workers e servidores TURN da Twilio, os criminosos conseguem ocultar sua infraestrutura e dificultar o trabalho de equipes de segurança.
Para administradores de sistemas, profissionais de SecOps, pesquisadores e desenvolvedores, esse caso representa mais um exemplo de como as campanhas modernas de ransomware estão migrando para técnicas conhecidas como Living off the Land (LotL), nas quais ferramentas legítimas do sistema são reutilizadas para executar atividades maliciosas.
Como o grupo Chaos utiliza o implante msaRAT
Segundo a Cisco Talos, o msaRAT não é o ransomware propriamente dito. Trata-se de um implante de acesso remoto (Remote Access Trojan) responsável por estabelecer persistência, receber comandos dos operadores e preparar o ambiente comprometido para as próximas etapas do ataque, incluindo a possível implantação do ransomware.
O malware foi desenvolvido em Rust, linguagem que vem sendo adotada por diversos grupos criminosos devido às suas características de desempenho, gerenciamento seguro de memória e facilidade para gerar executáveis compactos e portáveis.
Outro diferencial é que o msaRAT evita incorporar bibliotecas próprias para navegação ou comunicação. Em vez disso, ele procura automaticamente instalações do Google Chrome e do Microsoft Edge, utilizando informações armazenadas no Registro do Windows para localizar os executáveis.
Essa estratégia reduz o número de componentes suspeitos executados na máquina e faz com que boa parte da comunicação seja realizada por processos considerados confiáveis pelo sistema operacional.
Como o Chrome DevTools Protocol é explorado pelo malware
O ponto mais inovador da campanha está no uso do Chrome DevTools Protocol (CDP).
O CDP é uma interface oficial utilizada por navegadores baseados em Chromium para depuração, automação de testes e desenvolvimento. Ferramentas amplamente utilizadas por desenvolvedores, como Puppeteer e diversos frameworks de testes automatizados, dependem dessa tecnologia.
O msaRAT inicia o navegador em modo headless, ou seja, sem interface gráfica, utilizando parâmetros como --headless e --remote-debugging-port.
Com isso, o implante passa a controlar completamente o navegador através da interface de depuração.
Entre as ações identificadas pelos pesquisadores estão:
- execução remota de JavaScript;
- automação da navegação;
- criação de conexões de rede;
- interação com APIs internas do navegador;
- manipulação do conteúdo das páginas carregadas.
Como todas essas funções fazem parte da operação legítima do Chrome e do Edge, muitos produtos de segurança enxergam apenas um navegador funcionando normalmente.
Outro aspecto importante é que o CDP permite executar scripts diretamente dentro do contexto do navegador, reduzindo limitações impostas por mecanismos como a Content Security Policy (CSP) e oferecendo aos atacantes maior flexibilidade para controlar a sessão.
WebRTC, Cloudflare Workers e Twilio escondem o servidor C2
A arquitetura de comunicação adotada pelo msaRAT representa um dos pontos mais sofisticados da campanha.
Em vez de estabelecer conexões diretas com um servidor controlado pelos criminosos, o implante utiliza uma cadeia composta por serviços amplamente empregados por empresas.
O processo começa com uma comunicação inicial utilizando Cloudflare Workers, plataforma serverless legítima da Cloudflare.
Esse componente atua como intermediário durante a fase de sinalização da conexão.
Na sequência, o malware estabelece uma sessão utilizando WebRTC, tecnologia criada para comunicação em tempo real entre navegadores.
Quando uma conexão direta não pode ser estabelecida devido à presença de NATs ou firewalls corporativos, entram em ação os servidores TURN da Twilio, que funcionam como relays para encaminhar o tráfego.
Na prática, a comunicação segue um fluxo semelhante a este:
Implante msaRAT → Chrome ou Edge → Cloudflare Worker → WebRTC → servidor TURN da Twilio → operador do grupo Chaos
Essa arquitetura oferece diversas vantagens aos criminosos.
O endereço real da infraestrutura de comando e controle permanece oculto, enquanto o tráfego utiliza serviços confiáveis e amplamente empregados em aplicações corporativas.
Como consequência, bloquear completamente domínios da Cloudflare ou da Twilio raramente é uma opção viável para empresas.
Como ocorre a infecção da máquina
A investigação da Cisco Talos indica que a cadeia de infecção começa com o download de componentes adicionais utilizando o utilitário curl, ferramenta legítima presente em versões modernas do Windows.
Depois disso, a vítima recebe um arquivo MSI disfarçado de atualização do Windows, explorando técnicas de engenharia social para aumentar as chances de execução.
Durante o processo de instalação, o pacote extrai componentes adicionais e carrega uma DLL responsável por iniciar o msaRAT.
Em vez de depender exclusivamente de arquivos gravados em disco, parte da execução ocorre diretamente na memória, dificultando a identificação por soluções tradicionais de antivírus.
Os pesquisadores também observaram o uso do Tokio, um runtime assíncrono bastante conhecido no ecossistema Rust.
Esse componente permite que o malware execute múltiplas tarefas simultaneamente, incluindo comunicação com o C2, coleta de informações do sistema e execução de comandos recebidos dos operadores.
Como detectar essa técnica de evasão
O caso analisado pela Cisco Talos demonstra que a simples inspeção de domínios ou endereços IP já não é suficiente para detectar campanhas modernas.
Grande parte da infraestrutura utilizada pelo msaRAT pertence a serviços legítimos amplamente empregados por empresas.
Por isso, equipes de segurança devem priorizar a análise comportamental.
Entre os principais indicadores estão:
- Chrome ou Edge iniciados em modo headless sem justificativa operacional;
- utilização do parâmetro
--remote-debugging-port; - navegadores sendo iniciados por MSI, PowerShell, cmd.exe, curl ou processos incomuns;
- criação inesperada de sessões WebRTC em servidores ou estações sem aplicações de videoconferência;
- conexões persistentes envolvendo Cloudflare Workers seguidas de tráfego TURN.
Soluções modernas de EDR, XDR e plataformas de Threat Hunting conseguem correlacionar esses eventos com muito mais eficiência do que mecanismos baseados apenas em assinaturas ou listas de bloqueio.
Outra recomendação importante é ampliar a coleta de telemetria relacionada à criação de processos, parâmetros de execução e eventos do navegador, permitindo identificar comportamentos incompatíveis com o uso normal do Chrome e do Edge.
O uso de navegadores legítimos inaugura uma nova fase na evasão
A pesquisa da Cisco Talos mostra que o grupo Chaos está adotando técnicas cada vez mais sofisticadas para ocultar suas operações.
Ao transformar Chrome e Microsoft Edge em canais de comunicação por meio do Chrome DevTools Protocol, combinando WebRTC, Cloudflare Workers e servidores TURN da Twilio, o msaRAT reduz significativamente os indicadores tradicionais utilizados por equipes de defesa.
Essa abordagem reforça uma tendência crescente no cenário das ameaças cibernéticas: os atacantes preferem reutilizar ferramentas legítimas presentes no ambiente comprometido em vez de desenvolver componentes facilmente identificáveis por soluções de segurança.
Para administradores de sistemas, analistas de SOC, equipes de SecOps e profissionais de resposta a incidentes, a principal lição é clara: detectar campanhas modernas exige monitorar o comportamento dos processos, a telemetria do sistema e o uso incomum de tecnologias legítimas. Quanto mais cedo essas anomalias forem identificadas, maiores serão as chances de interromper o ataque antes que o ransomware seja implantado e cause impactos significativos à organização.
