這篇文章將為大家分析一種新型的遠端控制木馬 msaRAT，它是 Chaos 勒索軟體組織所使用的工具。這款惡意軟體的設計非常狡猾，它不直接與外部伺服器通訊，而是將瀏覽器當成「代理人」來傳遞指令，讓資安防禦者在監控網路流量時，看到的只是正常的瀏覽器行為。
對 Junior 工程師來說，理解這類攻擊的核心在於：攻擊者不再嘗試隱藏流量，而是將流量「偽裝」成最常見且最被信任的應用程式行為。
msaRAT 的隱匿通訊機制
一般的惡意軟體會直接建立一個 TCP 或 UDP 連線到攻擊者的 C2（Command and Control，指令與控制伺服器）。但這種行為很容易被防火牆或入侵偵測系統（IDS）捕捉到異常的外部連線。
msaRAT 採取了完全不同的做法。它在受害機器上執行後，絕對不會主動發起對外的連線，它只會與本機的 127.0.0.1（Loopback address）溝通。
它實際上是啟動了一個「無頭瀏覽器」（Headless Browser），也就是沒有圖形介面、在背景運行的 Chrome 或 Edge。接著，它利用 Chrome DevTools Protocol（CDP，這是瀏覽器內建的除錯 API，開發者常用來做自動化測試）來操控這個瀏覽器。
簡單來說，msaRAT 像是一個操盤手，而瀏覽器則是它對外的唯一窗口。所有的指令傳遞都透過瀏覽器完成，這意味著在網路監控設備眼中，所有流量都來自於合法且受信任的 Chrome 或 Edge 進程。
利用 WebRTC 與雲端服務繞過檢查
即便使用了瀏覽器，如果直接連線到一個可疑的 IP，依然會被發現。因此，msaRAT 進一步利用了 WebRTC 技術。
WebRTC（Web Real-Time Communication）通常用於視訊會議或即時通訊，允許瀏覽器之間進行點對點傳輸。msaRAT 透過 Cloudflare Worker 獲取設定，並利用 Twilio 的 TURN 服務（Traversal Using Relays around NAT，一種幫助穿透防火牆的轉發伺服器）來中繼流量。
這樣做的結果是：防禦者在網路上看到的流量目標是 Cloudflare 和 Twilio 這些知名的雲端服務商。由於這些服務被全球數百萬個合法應用程式使用，資安團隊幾乎不可能直接封鎖這些網域，否則會導致大量正常業務中斷。
此外，流量經過了兩層加密：第一層是 WebRTC 內建的 DTLS 加密，第二層則是攻擊者自定義的 ChaCha-Poly1305 加密，這讓流量分析工具完全無法得知內部傳輸的具體內容。
攻擊路徑與執行過程
msaRAT 的進入方式其實非常傳統，並不依賴複雜的零日漏洞：
首先，攻擊者透過社交工程（如垃圾郵件、電話詐騙）獲取初步權限。 接著，使用簡單的 curl 指令下載一個偽裝成 Windows 更新的 MSI 安裝檔。 安裝檔執行後，會將一個由 Rust 語言編寫的 DLL 檔案直接載入記憶體執行，這就是 msaRAT 本體。
之所以選擇 Rust 語言，是因為 Rust 具有高效能且記憶體安全的特性，且較新的編譯產物有時能更好地規避傳統的特徵碼偵測。
如何偵測與防禦
由於 msaRAT 並非利用瀏覽器的漏洞，而是利用瀏覽器的「正常功能」，因此單靠更新瀏覽器版本無法解決問題。我們必須從行為分析（Behavioral Analysis）入手。
偵測重點應放在以下異常行為：
第一，監控瀏覽器啟動參數。如果發現 Chrome 或 Edge 被啟動時帶有 --headless=new（無頭模式）以及 --remote-debugging-port（開啟除錯端口），且其父進程不是使用者手動啟動，而是由某個安裝程式或不明服務啟動，這就是高度可疑的信號。
第二，分析本機連線。檢查是否有非瀏覽器進程在頻繁地與 127.0.0.1 的特定除錯端口通訊。
第三，追蹤 API 調用。如果能監控到 CDP 的訊息，特別是 Runtime.addBinding 和 Runtime.evaluate 這類用於注入 JavaScript 的指令，通常代表有外部程式在操控瀏覽器執行惡意代碼。
總結
msaRAT 展現了現代惡意軟體的一個趨勢：將「合法工具」武器化。它將 CDP、WebRTC、Cloudflare 和 Twilio 這些標準的開發與網路技術組合在一起，構建出一個極其隱蔽的通訊通道。對於工程師而言，這提醒我們不能僅僅依賴 IP 黑名單或端口封鎖，而應該更關注進程行為與異常的 API 調用模式。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。