Cisco Talos เปิดเผยการค้นพบมัลแวร์ตัวใหม่ชื่อ msaRAT ซึ่งเป็น Remote Access Trojan (RAT) ที่พัฒนาด้วยภาษา Rust และเชื่อมโยงกับกลุ่ม Chaos Ransomware จุดเด่นที่ทำให้มัลแวร์ตัวนี้น่ากังวลเป็นพิเศษคือไม่สร้างการเชื่อมต่อเครือข่ายโดยตรงจากตัวมัลแวร์เอง แต่ควบคุมเว็บเบราว์เซอร์ Google Chrome หรือ Microsoft Edge ผ่าน Chrome DevTools Protocol เพื่อให้เบราว์เซอร์ทำหน้าที่เป็นตัวกลางสื่อสารกับเซิร์ฟเวอร์ของผู้โจมตีแทน
ที่มาของชื่อและลักษณะพื้นฐาน
ชื่อ msaRAT มาจากชื่อฟังก์ชันที่พบในตัวไฟล์ Binary ได้แก่ "msaOpen", "msaClose", "msaError" และ "msaMessage" มัลแวร์ตัวนี้พัฒนาโดยใช้ Tokio Asynchronous Runtime ของภาษา Rust โดยมีความสามารถหลักคือการรันโค้ดจากระยะไกลผ่านเบราว์เซอร์ (Browser-leveraged Remote Code Execution) และการสร้างอุโมงค์สื่อสารแบบซ่อนเร้น (Covert Tunneling) เพื่อสร้างช่องทาง Command and Control (C2)
กลไกการทำงาน: การ "อาศัยอยู่ใน" เบราว์เซอร์
msaRAT เปิด Instance ของ Chrome หรือ Edge บนเครื่องเหยื่อขึ้นมาเอง แล้วควบคุมผ่าน Chrome DevTools Protocol (CDP) ซึ่งเป็น Debugging API ที่มากับเบราว์เซอร์ทั้งสองตัวอยู่แล้วโดยไม่จำเป็นต้องติดตั้งเพิ่มเติม
เมื่อควบคุมเบราว์เซอร์ได้แล้ว เบราว์เซอร์จะทำหน้าที่ส่งทราฟฟิก C2 ผ่านช่องทาง WebRTC โดยมีรายละเอียดทางเทคนิคที่น่าสนใจคือ ตัว RAT เองสื่อสารกับเบราว์เซอร์ผ่าน 127.0.0.1 (Localhost) เท่านั้น ไม่มีการส่งข้อมูลออกจากตัวมัลแวร์โดยตรง ส่วนทราฟฟิกที่ออกสู่ภายนอกเครื่องจริงๆ นั้นมาจาก Process ของเบราว์เซอร์ที่ถูกต้องตามกฎหมาย ประกอบด้วย:
- HTTPS ไปยังโดเมนของ Cloudflare Developer
- STUN Request ไปยังเซิร์ฟเวอร์ของ Google
- WebRTC ไปยัง Relay ของ Twilio
การเข้ารหัสสองชั้น
เพื่อป้องกันการดักจับข้อมูล msaRAT ใช้การเข้ารหัส 2 ชั้นซ้อนกัน ได้แก่ WebRTC DTLS ซึ่งเป็นการเข้ารหัสที่เบราว์เซอร์จัดเตรียมให้โดยอัตโนมัติ และ ChaCha20-Poly1305 ร่วมกับ ECDH Key ซึ่งเป็นชั้นการเข้ารหัสที่ msaRAT พัฒนาขึ้นเองเพิ่มเติม
เกี่ยวกับกลุ่ม Chaos Ransomware
กลุ่ม Chaos ดำเนินการในรูปแบบ Ransomware-as-a-Service (RaaS) มีความเคลื่อนไหวยืนยันตั้งแต่เดือนกุมภาพันธ์ 2025 ใช้ช่องทาง Vishing (Voice Phishing) และอีเมลสแปมเป็นวิธีเข้าถึงเป้าหมายเบื้องต้น ก่อนดำเนินการโจมตีแบบ Double Extortion คือทั้งเข้ารหัสข้อมูลเรียกค่าไถ่และขู่เปิดเผยข้อมูลที่ขโมยมาหากไม่จ่ายเงิน
ผลกระทบที่อาจเกิดขึ้น
- ทราฟฟิก C2 กลมกลืนกับการใช้งานเว็บปกติของผู้ใช้งาน ทำให้ระบบ Network Security หรือ EDR บางประเภทที่มองหาการเชื่อมต่อผิดปกติจาก Process ที่ไม่รู้จัก ตรวจจับได้ยากขึ้นมาก
- เครื่องที่ติดมัลแวร์เสี่ยงถูกโจมตีแบบ Double Extortion ต่อเนื่อง ทั้งการเข้ารหัสข้อมูลและการขู่เปิดเผยข้อมูลที่ขโมยไป
- เทคนิคการควบคุมเบราว์เซอร์ผ่าน CDP มีแนวโน้มถูกนำไปใช้โดยกลุ่มอื่นเพิ่มขึ้น เนื่องจากเป็นวิธีที่มีประสิทธิภาพสูงในการหลบเลี่ยงการตรวจจับระดับเครือข่าย
- ยากต่อการระบุแหล่งที่มาของทราฟฟิกอันตราย เนื่องจากปลายทางที่ทราฟฟิกเชื่อมต่อออกไป (Cloudflare, Google, Twilio) ล้วนเป็นบริการที่ถูกต้องตามกฎหมายและมีการใช้งานทั่วไปอยู่แล้ว
สิ่งที่องค์กรควรทำ
- เฝ้าระวังการรัน Chrome หรือ Edge ในโหมด Headless หรือถูกเปิดใช้งาน Remote Debugging Port โดยไม่ได้ตั้งใจ ซึ่งเป็นเงื่อนไขที่จำเป็นสำหรับการควบคุมผ่าน CDP
- ตรวจสอบทราฟฟิกเครือข่ายที่เชื่อมต่อไปยังโดเมน Cloudflare, Google STUN และ Twilio Relay ในลักษณะที่ผิดปกติจาก Endpoint โดยเฉพาะรูปแบบการเชื่อมต่อที่ไม่สอดคล้องกับการใช้งานปกติของผู้ใช้
- อัปเดตระบบ EDR ให้รองรับการตรวจจับพฤติกรรมการควบคุม Browser ผ่าน CDP ซึ่งเป็นเทคนิคที่เริ่มพบมากขึ้นในมัลแวร์ยุคใหม่
- ตรวจสอบ Process ของเบราว์เซอร์ที่มี Command-line Argument ผิดปกติ เช่น การเปิดใช้งาน Remote Debugging Port ที่ไม่ได้มาจากการตั้งค่าขององค์กร
แนวทางลดความเสี่ยงระยะยาว
1. จำกัดสิทธิ์การเปิดใช้งาน Remote Debugging Port ของเบราว์เซอร์ในองค์กร
ผ่านนโยบาย Group Policy หรือเครื่องมือจัดการ Endpoint เพื่อป้องกันไม่ให้มัลแวร์เปิดใช้งาน CDP โดยไม่ได้รับอนุญาต
2. ลงทุนในเครื่องมือ Network Detection and Response (NDR) ที่วิเคราะห์พฤติกรรมมากกว่า Signature
เนื่องจากเทคนิคแบบนี้ออกแบบมาให้หลบเลี่ยงการตรวจจับด้วย Signature หรือ IOC แบบดั้งเดิมได้อย่างมีประสิทธิภาพ
3. อบรมพนักงานให้ตระหนักถึงความเสี่ยงของ Vishing และอีเมลสแปม
เนื่องจากเป็นช่องทางเข้าถึงเบื้องต้นหลักที่กลุ่ม Chaos ใช้ในการเริ่มต้นโจมตี
4. ทดสอบและปรับปรุงแผน Incident Response ให้ครอบคลุมสถานการณ์ที่มัลแวร์ใช้ Living-off-the-Browser Technique
เนื่องจากเป็นแนวโน้มเทคนิคใหม่ที่แผน Response แบบเดิมอาจไม่ครอบคลุมเพียงพอ
วิเคราะห์ในมุมมองจาก TXEC
msaRAT เป็นตัวอย่างที่ชัดเจนของวิวัฒนาการเทคนิค Living off the Land ที่ขยับจากการอาศัยเครื่องมือระบบปฏิบัติการ ไปสู่การอาศัยเบราว์เซอร์ซึ่งเป็นแอปพลิเคชันที่แทบทุกเครื่ององค์กรมีอยู่แล้วและได้รับความไว้วางใจสูง การควบคุมเบราว์เซอร์ผ่าน CDP เพื่อสร้างช่องทาง C2 ที่ดูเหมือนทราฟฟิกเว็บปกติ สะท้อนว่าผู้โจมตีเข้าใจข้อจำกัดของเครื่องมือตรวจจับแบบเดิมที่มักมุ่งเน้นการวิเคราะห์ Process หรือทราฟฟิกที่ผิดปกติอย่างชัดเจนเป็นหลัก
TXEC มองว่าองค์กรควรเริ่มปรับมุมมองด้าน Threat Detection ให้ครอบคลุมพฤติกรรมของแอปพลิเคชันที่ได้รับความไว้วางใจอยู่แล้วด้วย ไม่ใช่มุ่งเน้นเฉพาะ Process หรือทราฟฟิกที่ดูน่าสงสัยอย่างชัดเจนเพียงอย่างเดียว เนื่องจากเทคนิคลักษณะนี้มีแนวโน้มถูกนำไปปรับใช้โดยกลุ่มโจมตีอื่นเพิ่มขึ้นในอนาคต
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Cisco Talos, BleepingComputer, The Hacker News, Help Net Security, Security Affairs ]