TLDR
msaRAT menggunakan browser headless untuk menyembunyikan komunikasi malware. Malware ini tidak bergantung pada kerentanan browser, tetapi pada perilaku proses yang terlihat sah. Penggunaan infrastruktur layanan seperti Twilio dan Cloudflare memungkinkan penyamaran yang lebih baik dalam lalu lintas jaringan. Pomodo.id - Chaos ransomware telah meningkatkan kompleksitas dalam melancarkan serangan siber dengan menggunakan browser korban sebagai saluran komunikasi untuk mengelola perintah dan kontrol (C2). Kelompok ransomware ini menjalankan implant yang dikenal sebagai msaRAT, yang tidak pernah menciptakan koneksi keluar secara langsung, tetapi berkomunikasi dengan perangkat tersebut melalui alamat lokal 127.0.0.1. MsaRAT memanfaatkan fitur debugging pada browser seperti Chrome dan Edge untuk mengirim pesan C2 melalui saluran data WebRTC yang dipindahkan oleh layanan TURN dari Twilio. Dengan cara ini, lalu lintas yang terlihat oleh pemantau jaringan hanya menunjukkan komunikasi antara browser dan penyedia layanan seperti Cloudflare dan Twilio, tanpa menampilkan alamat server penyerang.Dalam mekanisme serangannya, msaRAT memulai browser secara tersembunyi dengan mode "headless" dan mengaktifkan protokol debugging melalui port yang ditentukan. Hal ini memungkinkan malware mengakses data secara efisien tanpa terdeteksi. Selain itu, selama proses ini, msaRAT tidak mengubah profil pengguna di browser, tetapi membawa direktori profilnya sendiri untuk tetap tidak terdeteksi. Semua ini memberikan keamanan ekstra kepada penyerang dalam mengelola aktivitas berbahaya mereka.Namun, teknik yang digunakan dalam serangan ini tidak tanpa batasan. Misalnya, perubahan yang dilakukan oleh Google pada versi Chrome 136, di mana mereka tidak lagi menghormati pengaturan debugging untuk profil default, telah memperketat akses di beberapa area. Meskipun demikian, pembangunan sistem malware yang canggih seperti msaRAT memungkinkan penyerang untuk mendapatkan kembali kontrol dan tetap berfungsi meski ada peningkatan keamanan.Perkembangan dalam serangan ransomware, terutama yang menggunakan teknologi canggih seperti artificielle intelligence (AI), menunjukkan bahwa operator malware semakin mengadopsi alat otomatisasi untuk merampingkan proses pengiriman, termasuk cara-cara yang lebih efisien dalam mengalihkan serangan phishing. Misalnya, Rapid7 menyatakan bahwa operator malware menggunakan AI generatif untuk memproduksi dan menguji metode pengiriman phishing, menunjukkan bagaimana penguasaan teknologi ini mempercepat pengembangan taktik serangan. Hal ini mengisyaratkan bahwa tantangan yang dihadapi oleh para profesional keamanan siber semakin rumit dan memerlukan pendekatan yang lebih inovatif untuk penanggulangan.
MsaRAT adalah implant malware yang berfungsi dengan memanfaatkan browser korban untuk menjalankan perintah secara rahasia. Malware ini berkomunikasi melalui protokol debugging browser, sehingga tidak mengundang perhatian dari sistem keamanan yang lebih tradisional. Penting untuk memahami bahwa msaRAT menghindari koneksi langsung ke server penyerang, yang membuatnya lebih sulit untuk dideteksi oleh perangkat keamanan yang konvensional. Penyebaran ransomware yang mengandalkan teknik pemrograman canggih ini mendemonstrasikan adanya evolusi cara kerja malware yang harus dihadapi oleh tim keamanan.
Situasi ini menandai perlunya langkah-langkah proaktif yang lebih efektif dalam penanganan ancaman siber. Dengan pemahaman mendalam tentang metode yang digunakan oleh penyerang, organisasi dapat lebih siap mengatasi potensi serangan di masa depan. Tantangan ini juga menyoroti pentingnya memantau perilaku yang tidak biasa dalam penggunaan browser serta menerapkan kebijakan keamanan yang lebih ketat untuk mengurangi risiko serangan siber berbasis ransomware.Artikel ini disintesis dari 3 sumber.
