msaRAT, un malware exploitant Chrome et Edge pour masquer ses attaques
Une porte dérobée jusqu’alors inconnue, nommée msaRAT, circule désormais activement. Elle offre au groupe de rançongiciels Chaos un moyen furtif d’exfiltrer des données et de recevoir des commandes sans déclencher les défenses réseau.
Les chercheurs qui analysent cette opération ont remarqué que msaRAT se greffe sur Google Chrome ou Microsoft Edge pour acheminer ses communications de contrôle. En se faisant passer pour un trafic navigateur légitime, le malware contourne les pare-feux et les systèmes de détection d’intrusion qui auraient autrement repéré les balises brutes de C2.
Sous le capot du navigateur
Une fois msaRAT installé sur un système, il déploie une extension navigateur et configure Chrome ou Edge pour rediriger ses connexions sortantes. L’extension injecte du JavaScript qui réécrit le trafic à la volée, transformant toutes les échanges de C2 en requêtes web anodines vers des domaines populaires. Comme ces requêtes proviennent des mêmes processus que ceux du surf normal, les outils automatisés peinent à distinguer les paquets malveillants des flux inoffensifs.
Signes à surveiller
Les premiers indicateurs montrent que msaRAT est distribué via des courriels d’hameçonnage ciblé contenant des documents piégés. Les organisations doivent donc revoir leurs règles de filtrage des emails, désactiver les extensions navigateur non signées et surveiller les arborescences de processus inhabituelles impliquant des sous-processus de Chrome ou Edge.
Enjeux
msaRAT illustre comment les attaquants continuent de détourner des logiciels du quotidien pour contourner les contrôles de sécurité. Pour les défenseurs, le passage des canaux de C2 bruts aux tunnels basés sur les navigateurs impose désormais une prise en compte des motifs de trafic applicatif dans la surveillance réseau. Cette technique souligne aussi l’importance du renforcement des points de terminaison, en particulier autour des extensions navigateur et des documents contenant des macros, afin de tenir les groupes de rançongiciels à distance.
Source : BleepingComputer. Synthèse éditoriale assistée par IA — TechnoExpress.