Um novo código malicioso, batizado de msaRAT por pesquisadores da empresa de cibersegurança Cisco Talos, está utilizando uma tática engenhosa para burlar sistemas de defesa e realizar o roubo de dados. Este Cavalo de Troia de Acesso Remoto (RAT), associado ao grupo cibercriminoso Chaos, se destaca por usar navegadores como Google Chrome e Microsoft Edge como fachada, ocultando o envio de comandos e a exfiltração de informações.
A abordagem do msaRAT difere das invasões tradicionais que exploram vulnerabilidades diretas em softwares. Em vez disso, ele assume o controle do navegador instalado na máquina da vítima, realizando conexões em nome do programa. Essa camuflagem permite que o vírus evite conexões diretas com os servidores dos criminosos, impedindo a emissão de alertas em firewalls e dificultando sua detecção por sistemas de segurança convencionais.
A engenhosidade da camuflagem do msaRAT
A principal inovação do msaRAT reside em sua capacidade de operar de forma quase invisível. Ao se apropriar do navegador, o malware faz com que todas as suas comunicações pareçam ser tráfego legítimo do Chrome ou Edge. Essa estratégia é crucial para evitar a detecção por ferramentas de monitoramento de rede que buscam padrões de tráfego incomuns ou conexões diretas com endereços IP suspeitos.
A ausência de conexões diretas com os servidores dos invasores é um fator determinante para a longevidade e o sucesso das operações do msaRAT. Ao se misturar ao tráfego normal da internet, o vírus consegue operar por períodos mais longos sem levantar suspeitas, aumentando suas chances de sucesso na coleta e exfiltração de dados sensíveis.
Engano inicial: a tática de infecção do msaRAT
O processo de infecção pelo msaRAT geralmente se inicia com métodos de engenharia social, como mensagens enganosas por e-mail ou chamadas de voz, uma prática conhecida como phishing. Os cibercriminosos induzem as vítimas a baixar e executar um instalador malicioso, que é disfarçado como uma atualização legítima do sistema operacional.
Uma vez executado, esse arquivo não instala uma atualização, mas carrega o código malicioso do msaRAT diretamente na memória do sistema. Essa técnica de carregamento em memória (fileless malware) é outra camada de discrição, pois evita a criação de arquivos persistentes no disco, o que poderia ser detectado por antivírus baseados em assinatura.
Exploração do navegador: a interface de depuração como arma
Após ser carregado na memória, o msaRAT localiza o Google Chrome ou o Microsoft Edge no computador da vítima e inicia o programa em modo invisível, sem exibir qualquer janela na tela. Em seguida, o código malicioso ativa a interface de depuração do próprio navegador, uma ferramenta originalmente desenvolvida para auxiliar programadores no desenvolvimento e teste de aplicações web.
Através desse recurso, o vírus injeta scripts maliciosos e força o navegador a abrir canais de comunicação criptografados. Esses canais são então utilizados para enviar comandos aos servidores dos criminosos e exfiltrar os dados roubados, tudo sob o disfarce de uma atividade de navegação normal e segura.
Serviços legítimos: a camuflagem da infraestrutura criminosa
Para reforçar a ocultação da origem dos comandos e do destino dos dados, o msaRAT direciona suas comunicações através de serviços de nuvem legítimos, como os da Cloudflare e infraestruturas da Twilio. Essa estratégia é fundamental para os invasores, pois, como apontado pelos analistas da Cisco Talos, o endereço IP real do servidor dos criminosos nunca é exposto no tráfego de rede.
Essa camuflagem da infraestrutura torna o rastreamento e o bloqueio das operações extremamente difíceis para equipes de TI e especialistas em cibersegurança. O grupo Chaos, responsável pelo msaRAT, é conhecido por sua atuação internacional e já foi associado a operações do grupo iraniano MuddyWater, que frequentemente utiliza ataques de extorsão financeira como fachada para ações de espionagem.
A Cisco Talos disponibilizou indicadores de comprometimento (IoCs) em seu relatório oficial para auxiliar empresas na identificação da presença do msaRAT em suas redes. A ameaça do msaRAT ressalta a importância de vigilância contínua e de soluções de segurança avançadas para combater malwares cada vez mais sofisticados e furtivos. Para mais informações sobre ameaças digitais, visite TecMundo Segurança.
