Ransomware Chaos agora esconde seu tráfego em navegador invisível
O grupo de ransomware Chaos adotou uma técnica inédita para mascarar suas comunicações maliciosas: o uso de um navegador invisível controlado por um novo trojan, batizado de msaRAT. Com essa abordagem, o tráfego de comando e controle é misturado ao uso legítimo do Chrome e do Edge, dificultando a detecção por equipes de segurança e por soluções tradicionais de monitoramento de rede.
Esse novo componente foi observado em um ambiente Windows comprometido, ainda na fase de preparação do ataque, antes da execução do criptografador de arquivos. Em vez de estabelecer diretamente a conexão com a infraestrutura criminosa, o msaRAT atua como um “operador de bastidor”, orquestrando o navegador para que ele seja o canal real de comunicação com os servidores dos invasores.
Como funciona o msaRAT
Desenvolvido em Rust, o msaRAT não abre conexões externas diretamente para os servidores do grupo Chaos, o que seria mais fácil de rastrear. Em vez disso, ele inicia uma instância do navegador em modo invisível (sem interface gráfica para o usuário) e passa a controlá-lo por meio do Chrome DevTools Protocol, a mesma interface usada por desenvolvedores para depurar e automatizar navegadores.
Dessa forma, o tráfego de rede visível do sistema operacional está associado ao processo legítimo do Chrome ou do Edge, enquanto o próprio msaRAT mantém sua comunicação restrita à máquina local, usando o endereço de loopback. Para qualquer ferramenta que olhe apenas o processo que origina as conexões, tudo parece atividade normal de navegação na web.
Injeção de JavaScript e uso de WebRTC
Uma vez que o navegador invisível está em execução, o trojan injeta código JavaScript em páginas controladas pelos atacantes. Esse código é usado para estabelecer uma conexão WebRTC, tecnologia geralmente usada para chamadas de voz, vídeo e compartilhamento de dados em tempo real entre navegadores.
Para iniciar essa comunicação, os operadores utilizam um serviço hospedado em Cloudflare Workers, que funciona como ponto de sinalização para negociar a sessão WebRTC. Após a negociação, o tráfego é roteado por servidores TURN da Twilio, responsáveis por retransmitir o fluxo de dados entre o navegador da vítima e a infraestrutura dos criminosos.
O resultado prático é que os registros de rede da organização passam a mostrar conexões com serviços amplamente conhecidos e legitimamente utilizados, sem revelar o endereço real dos servidores dos invasores. A origem e o destino final da comunicação permanecem escondidos atrás desses intermediários.
Execução de comandos e exfiltração de dados
Os comandos enviados pelos operadores por meio dessa cadeia de comunicação são executados localmente via cmd.exe, o interpretador de comandos padrão do Windows. Com isso, o atacante pode listar arquivos, mover dados, instalar novas cargas maliciosas, criar persistência no sistema e preparar o ambiente para o ransomware.
O msaRAT ainda incorpora mecanismos de fila e controle de fluxo, pensados para garantir que a transmissão de dados maiores – como arquivos, capturas de tela ou pacotes de informações confidenciais – seja feita com maior confiabilidade. Em ambientes com latência, perda de pacotes ou interrupções temporárias, esses controles permitem retomar ou organizar melhor a transferência, reduzindo a chance de falhas e detecções incomuns de comportamento de rede.
Cadeia de infecção: instalação disfarçada de atualização do Windows
Na intrusão analisada, os invasores distribuíram um instalador MSI apresentado como se fosse uma atualização legítima do Windows. Ao ser executado pela vítima, esse pacote não instalava um software convencional; em vez disso, carregava diretamente na memória uma DLL contendo o msaRAT.
Esse carregamento em memória (técnica conhecida como fileless ou living in memory) diminui a quantidade de artefatos escritos em disco, o que complica o trabalho de ferramentas de antivírus baseadas em assinaturas de arquivos. A superfície para análise forense posterior também é reduzida, dificultando o rastreamento detalhado da atividade maliciosa.
Objetivo da técnica: parecer tráfego normal
É importante destacar que essa abordagem não depende da exploração de vulnerabilidades no Chrome ou no Edge. O navegador é usado como um canal e uma fachada, não como um alvo a ser comprometido diretamente.
O objetivo central é simples e eficiente: fazer com que o tráfego de comando e controle seja indistinguível, à primeira vista, de navegação comum na internet. Ao se apoiar em tecnologias e serviços amplamente permitidos em ambientes corporativos – como navegadores populares, WebRTC e provedores de infraestrutura conhecidos – o grupo Chaos aumenta consideravelmente a chance de permanecer invisível pelos controles de segurança tradicionais.
Por que essa técnica é tão perigosa para empresas
Essa evolução na tática do Chaos reflete um movimento mais amplo no cibercrime: o uso de canais de comunicação “disfarçados” e integrações com serviços de nuvem para fugir de bloqueios simples de IP ou domínios suspeitos.
Para equipes de segurança, isso significa que:
– Bloquear simplesmente domínios desconhecidos já não é suficiente.
– Tráfego associado a navegadores e serviços populares não pode ser automaticamente classificado como benigno.
– A análise precisa considerar o contexto de comportamento: horários, volumes, padrões de uso, comandos executados e correlação com atividades do usuário.
Em empresas que liberam amplamente o uso de Chrome e Edge, além de permitirem comunicações WebRTC e serviços de grandes provedores, esse tipo de ataque tem grande chance de passar despercebido se não houver mecanismos avançados de detecção.
Implicações para monitoramento e resposta a incidentes
Ferramentas de EDR e XDR precisam evoluir para enxergar além do simples processo que origina conexões. No caso do msaRAT, o processo navegador é legítimo, mas o uso que está sendo feito dele é altamente suspeito.
Alguns sinais que podem indicar esse tipo de ataque:
– Instâncias de navegador rodando em modo invisível ou sem interação aparente do usuário.
– Atividade de Chrome DevTools Protocol em sistemas onde não há uso de desenvolvimento ou automação de navegador.
– Conexões WebRTC não associadas a aplicações conhecidas (como plataformas de videoconferência).
– Execuções recorrentes de cmd.exe disparadas por processos que não costumam iniciar linha de comando.
– Transferência de dados em horários atípicos ou a partir de estações que normalmente não fazem grandes uploads.
Integrar logs de sistemas, EDR e proxies com análises comportamentais e detecção baseada em anomalias torna-se essencial para identificar esse tipo de uso abusivo de navegadores.
Como reduzir o risco desse tipo de ataque
Algumas medidas práticas podem mitigar o impacto de técnicas como a do msaRAT:
1. Fortalecer o controle de aplicações
– Restringir a execução de instaladores MSI de origem desconhecida.
– Adotar listas de aplicações autorizadas (allowlisting) para sistemas críticos.
2. Monitorar uso não usual de navegadores
– Identificar processos de navegador iniciados em modos ocultos ou sem interface.
– Delimitar quem pode usar recursos avançados como DevTools ou automação de navegador.
3. Revisar políticas de WebRTC
– Verificar se o uso de WebRTC é realmente necessário para todas as estações.
– Monitorar e restringir conexões WebRTC que não estejam associadas a aplicações de negócio.
4. Aplicar princípios de Zero Trust
– Não presumir que o tráfego é confiável apenas por usar serviços populares.
– Validar continuamente identidade, contexto e comportamento de dispositivos e usuários.
5. Treinamento e conscientização
– Alertar colaboradores sobre riscos de executar “atualizações” ou instaladores fora dos canais oficiais.
– Estimular a verificação junto ao time de TI antes de instalar qualquer pacote suspeito.
Papel da IA em ataques e defesa
Ao mesmo tempo em que organizações começam a usar inteligência artificial em testes de segurança (pentests automatizados, análise de vulnerabilidades e detecção de ameaças), grupos criminosos também exploram essas tecnologias para tornar seus códigos mais flexíveis e difíceis de analisar.
Embora o msaRAT em si não seja descrito como uma ferramenta de IA, ele se insere em um cenário em que:
– Códigos em linguagens modernas como Rust são usados para obter melhor desempenho, portabilidade e evasão de antivírus.
– Ferramentas automatizadas podem ajudar atacantes a gerar variações de malware mais rapidamente.
– Infraestruturas em nuvem e serviços de terceiros são orquestrados de forma mais inteligente para mascarar origem e destino do tráfego.
Do lado defensivo, usar IA e análise avançada de dados para identificar padrões atípicos de uso de navegadores, WebRTC e integrações com serviços de nuvem torna-se cada vez mais relevante.
O que essa campanha ensina sobre a evolução do ransomware
O caso do Chaos com o msaRAT mostra que o ransomware deixou de ser apenas um “criptografador de arquivos” e passou a ser uma operação complexa, com múltiplas etapas: acesso inicial, persistência, movimentação lateral, exfiltração de dados e, só então, criptografia.
O uso de um RAT sofisticado antes do disparo do ransomware indica que:
– Os invasores investem tempo em reconhecimento e preparação do ambiente.
– Há maior foco em roubo de dados e chantagem dupla (vazamento + criptografia).
– Técnicas de evasão de detecção são prioridade desde os primeiros passos.
Empresas que ainda concentram esforços apenas na fase final – o momento da criptografia – tendem a estar atrasadas. A defesa precisa abranger toda a cadeia de ataque, com capacidade de interromper a operação mesmo antes que o ransomware seja acionado.
Conclusão
A adoção de um navegador invisível controlado via msaRAT pelo grupo Chaos representa um salto qualitativo nas técnicas de ofuscação de tráfego de ransomware. Ao se esconder atrás de processos legítimos e de serviços amplamente confiáveis, o grupo aumenta suas chances de operar por longos períodos sem ser percebido.
Para as organizações, isso reforça a necessidade de ir além de bloqueios simples e assinaturas estáticas, adotando monitoramento comportamental, políticas de menor privilégio, visibilidade profunda sobre o uso de navegadores e uma abordagem de segurança que considere a sofisticação crescente do ecossistema de ameaças.