Auf den Punkt: Das msaRAT-Implant der Chaos-Ransomware umgeht Netzwerk-Erkennungen durch die Weiterleitung von C2-Traffic über lokal gesteuerte Browser-Prozesse statt direkter Outbound-Verbindungen.
Die Ransomware-Gruppe Chaos leitet ihre Command-and-Control-Kommunikation über den Browser des Opfers, um Netzwerk-Erkennungen zu umgehen. Cisco Talos hat das Rust-basierte Implant msaRAT dokumentiert, das vor dem eigentlichen Ransomware-Einsatz auf kompromittierten Windows-Systemen installiert wird.
Das msaRAT-Implant funktioniert nach einem spezifischen Prinzip: Der Prozess selbst öffnet keine ausgehenden Verbindungen. Stattdessen kommuniziert er ausschließlich mit der lokalen Loopback-Adresse 127.0.0.1 und startet Chrome oder Edge im Headless-Modus, um den Browser als Kanal für die C2-Kommunikation zu nutzen.
Durch diese Architektur werden die Command-and-Control-Verbindungen über legitime Browser-Prozesse geroutet. Dies erschwert der Netzwerküberwachung, C2-Traffic zu identifizieren, da die Verbindungen den Anschein regulärer Browseraktivitäten haben. Das Implant agiert damit als lokaler Proxy für die Malware-Kommunikation.
Die Forschung von Cisco Talos zeigt, dass msaRAT typischerweise vor dem Ransomware-Einsatz auf Systemen deponiert wird — offenbar zur Etablierung eines stabilen C2-Kanals vor der eigentlichen Verschlüsselung. Für CISOs bedeutet dies, dass auch Systeme ohne direkte ausgehende Verbindungen der Malware kompromittiert sein können, sofern diese Browser-Prozesse missbraucht werden.
Quelle: thehackernews.com · Erschienen 23. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.