Cisco Talos mengungkap msaRAT, trojan akses jarak jauh berbasis Rust yang digunakan oleh grup ransomware Chaos untuk membangun channel command-and-control (C2) tersembunyi dengan menyalahgunakan Chrome DevTools Protocol (CDP) dan WebRTC melalui browser korban.
APA YANG TERJADI?
Grup Chaos ransomware, yang aktif sejak Februari 2025 dengan taktik double extortion, telah mengembangkan RAT baru bernama msaRAT yang ditulis dalam bahasa Rust menggunakan runtime asinkron Tokio. RAT ini tidak melakukan komunikasi jaringan secara langsung; sebaliknya, ia mengendalikan browser Chrome atau Edge korban melalui CDP untuk melakukan seluruh komunikasi C2. Payload didistribusikan melalui file MSI bernama update_ms.msi yang diunduh dengan curl ke direktori C:\programdata dan dieksekusi melalui custom action CA_Run_EA2AEBC3 yang memuat lib.dll ke dalam memori langsung dari binary table MSI.
DETAIL TEKNIS
msaRAT meluncurkan browser dalam mode headless dengan flag yang mengaktifkan remote debugging port. Setelah terhubung ke CDP melalui WebSocket, malware mengirimkan perintah Page.setBypassCSP untuk menonaktifkan Content Security Policy, lalu mendaftarkan lima binding melalui Runtime.addBinding: msaOpen, msaClose, msaError, msaMessage, dan dataAck. JavaScript yang disuntikkan ke browser menangani seluruh komunikasi WebRTC. RAT mengirimkan GET ke Cloudflare Workers untuk mendapatkan konfigurasi STUN/TURN server, kemudian membuat RTCPeerConnection dengan DataChannel. SDP Offer/Answer ditukar melalui Cloudflare Workers, namun ICE candidate sengaja dihilangkan dari jawaban server untuk memaksa semua traffic melalui relay TURN Twilio. Ini menyembunyikan IP asli server C2 dari traffic korban. Seluruh komunikasi WebRTC dienkripsi secara otomatis oleh DTLS browser, ditambah lapisan enkripsi ChaCha20-Poly1305 berbasis ECDH key exchange yang diimplementasikan oleh malware. Karena semua traffic eksternal keluar dari proses browser yang legitim, firewall dan monitoring jaringan melihat traffic browser normal, bukan aktivitas malware.
DAMPAK TERHADAP INDONESIA
Ransomware tetap menjadi ancaman utama bagi korporasi Indonesia, dengan beberapa insiden besar telah terjadi pada 2024-2025. Kemampuan Chaos untuk menyembunyikan C2 di dalam traffic browser merupakan evolusi yang berbahaya karena banyak organisasi Indonesia yang belum memiliki kemampuan SSL/TLS inspection dan network behavioral analytics yang memadai untuk membedakan traffic WebRTC legitim dari yang berbahaya. Pola distribusi melalui MSI yang menyamar sebagai update Windows juga sangat efektif di lingkungan di mana patching sering kali tidak teratur, sehingga pengguna tidak curiga terhadap file update_ms.msi. Adopsi Rust sebagai bahasa pengembangan malware menunjukkan tren industri ke arah bahasa yang lebih sulit di-reverse engineer dan lebih mudah menghasilkan binary cross-platform, yang berpotensi meningkatkan kesulitan analisis forensik di laboratorium keamanan siber nasional.
REKOMENDASI MITIGASI
Organisasi harus mengaktifkan SSL/TLS inspection pada firewall dan proxy untuk mendeteksi anomali dalam traffic HTTPS, termasuk koneksi ke Cloudflare Workers yang tidak diharapkan. Pantau proses Chrome atau Edge yang diluncurkan dengan flag –remote-debugging-port, terutama dari path atau parent process yang tidak biasa. Batasi atau pantau traffic WebRTC outbound ke layanan TURN publik seperti Twilio jika tidak dibutuhkan secara bisnis. Implementasikan application control untuk membatasi eksekusi MSI dari sumber tidak dikenal dan pantau curl.exe yang mengunduh file ke C:\programdata. Gunakan behavioral EDR yang dapat mendeteksi in-memory loading DLL dari custom action MSI serta anomali pada proses browser yang membuka koneksi jaringan tidak biasa. Cisco Talos telah merilis signature ClamAV Win.Downloader.ChaosRaas-10060321-0 dan rules SNORT 1:66840, 1:66841, 1:66839 untuk mendeteksi ancaman ini.
Analisa Retasan
msaRAT menunjukkan evolusi yang sangat canggih dalam teknik evasi network-based detection. Dengan menggunakan CDP, malware tidak hanya menyembunyikan C2 di dalam traffic browser, tetapi benar-benar mengalihkan seluruh komunikasi eksternal ke proses browser yang legitim. Ini adalah puncak dari konsep Living Off The Land: bukan hanya menggunakan tool sistem, tetapi menggunakan proses aplikasi user-level yang sepenuhnya legitim untuk menjalankan seluruh stack komunikasi berbahaya. Teknik penghilangan ICE candidate dari SDP Answer untuk memaksa routing melalui TURN adalah inovasi yang menunjukkan pemahaman mendalam terhadap protokol WebRTC dan cara kerja firewall enterprise. Banyak organisasi yang mengizinkan WebRTC karena aplikasi video conferencing atau komunikasi real-time, namun tidak memantau signaling traffic atau DataChannel usage. Serangan ini mengubah kebijakan tersebut menjadi celah fatal.
Dari perspektif arsitektur, penggunaan Rust dengan Tokio runtime memberikan malware kemampuan konkurensi tinggi dan performa yang mendekati bahasa sistem native, sambil tetap menawarkan memory safety yang mengurangi risiko crash selama operasi. Ini adalah tren yang semakin umum di malware modern, mengikuti jejak loader dan stealer lain yang beralih dari C/C++ ke Rust atau Go. Double encryption dengan DTLS browser plus ChaCha20-Poly1305 berarti bahkan jika traffic berhasil di-intercept, penyerang masih menghadapi lapisan enkripsi tambahan yang tidak bergantung pada infrastruktur browser. Ini adalah defense-in-depth yang diterapkan oleh pihak penyerang, sebuah ironi yang menunjukkan bahwa aktor ancaman kini mengadopsi praktik keamanan yang sama canggihnya dengan defender.
Bagi lanskap keamanan Indonesia, deteksi malware semacam ini memerlukan kemampuan jaringan yang jauh melampaui sekadar memblokir IP atau domain. Cloudflare Workers dan Twilio TURN adalah layanan legitim yang tidak dapat diblokir secara blanket tanpa mengganggu operasi bisnis. Solusinya adalah correlation analysis: mengaitkan anomali pada endpoint seperti browser headless diluncurkan dari path MSI, dengan anomali jaringan seperti koneksi WebRTC yang tidak biasa. Banyak SOC di Indonesia masih beroperasi dalam silo antara tim endpoint dan tim network, sehingga korelasi semacam ini sulit dilakukan. Tanpa perubahan struktural dalam cara SOC beroperasi dan tanpa investasi dalam teknologi NDR yang mampu menginspeksi traffic terenkripsi secara behavioral, ancaman semacam msaRAT akan terus lolos tanpa terdeteksi hingga terlambat.
Sumber: Cisco Talos
