Cisco Talos mengungkap msaRAT, trojan akses jarak jauh berbasis Rust yang dikaitkan dengan grup ransomware Chaos. RAT ini secara unik menyembunyikan seluruh kanal command-and-control melalui browser korban sendiri menggunakan Chrome DevTools Protocol, membuat traffic C2 tidak terdeteksi oleh firewall dan tool monitoring jaringan karena seluruhnya tampak sebagai traffic browser yang sah.
APA YANG TERJADI?
Cisco Talos menemukan msaRAT yang dideploy setelah akses awal berhasil dan sebelum encryptor ransomware dijalankan, sesuai pola Chaos yang dikenal melakukan reconnaissance pra-enkripsi. RAT ini tidak pernah membuat koneksi jaringan secara langsung dari prosesnya sendiri. Sebaliknya, ia meluncurkan Chrome atau Edge dalam mode headless dengan remote debugging yang diaktifkan, lalu mengontrol browser melalui Chrome DevTools Protocol untuk menangani seluruh komunikasi jaringan. Dari sudut pandang defender, yang terlihat hanyalah proses browser yang sah membuat permintaan HTTPS ke Cloudflare dan traffic WebRTC ke layanan relay Twilio, keduanya adalah layanan yang umum diizinkan di lingkungan enterprise.
DETAIL TEKNIS
Ini dimulai dengan file MSI bernama update_ms.msi yang diunduh menggunakan curl melalui HTTP pada port 443. MSI tersebut menyamar sebagai update Windows dan memuat DLL RAT langsung ke memori melalui custom installer action. msaRAT mencari Chrome atau Edge melalui environment variables dengan urutan prioritas tertentu, laju fallback ke registry jika tidak ditemukan. Setelah menemukan browser, msaRAT meluncurkannya dalam mode headless dengan remote debugging, terhubung ke port debugging lokal, mem-bypass Content Security Policy menggunakan perintah CDP, dan menyuntikkan JavaScript yang menangani seluruh pekerjaan jaringan. Cloudflare Workers menangani signaling SDP untuk membangun kanal WebRTC, lalu keluar dari jalur komunikasi. Semua perintah C2 selanjutnya mengalir melalui WebRTC DataChannel melalui relay Twilio, dengan alamat server penyerang tidak pernah muncul dalam traffic sama sekali. Komunikasi dilindungi dengan enkripsi ganda: DTLS yang ditangani browser secara otomatis, ditambah ChaCha-Poly1305 dengan kunci yang diderivasi melalui ECDH handshake pada saat koneksi.
DAMPAK TERHADAP INDONESIA
Lingkungan enterprise di Indonesia sangat bergantung pada browser Chrome dan Edge sebagai alat produktivitas utama. Pola traffic ke Cloudflare dan WebRTC ke Twilio adalah traffic yang umum diizinkan bahkan pada jaringan dengan filtering ketat. Teknik msaRAT membuat deteksi berbasis jaringan hampir tidak mungkin karena tidak ada anomali pada layer network yang bisa diamati. RAT ini hanya berkomunikasi melalui localhost 127.0.0.1, sehingga traffic eksternal seluruhnya berasal dari proses browser yang sah. Organisasi Indonesia yang mengandalkan firewall berbasis port dan monitoring traffic sederhana akan sangat rentan terhadap teknik semacam ini, karena trust model mereka mengasumsikan bahwa traffic dari browser adalah traffic yang aman.
REKOMENDASI MITIGASI
Talos telah merilis signature ClamAV dan rule Snort yang bisa digunakan untuk deteksi. Defenders harus memantau proses browser yang diluncurkan dengan flag remote-debugging dari installer MSI, aktivitas curl.exe atau certutil.exe pada direktori C:\ProgramData, serta user-agent string HeadlessChrome pada permintaan HTTP. Pembatasan penggunaan Chrome DevTools Protocol pada endpoint enterprise melalui kebijakan Group Policy juga bisa mengurangi surface area. Selain itu, EDR modern dengan kemampuan behavioral analytics harus dikonfigurasi untuk mendeteksi proses browser yang menjalankan JavaScript tidak biasa atau membuat koneksi WebRTC yang tidak terduga dari konteks installer.
Analisa Retasan
Teknik msaRAT merepresentasikan evolusi yang sangat signifikan dalam metode evasi malware: alih-alih mencoba menyembunyikan traffic C2 dengan enkripsi atau domain generation algorithm, malware ini sepenuhnya mendelegasikan komunikasi jaringan ke browser korban sendiri. Pendekatan ini menghancurkan paradigma deteksi berbasis jaringan karena tidak ada proses malware yang berkomunikasi dengan jaringan eksternal. Cloudflare Workers dan Twilio relay digunakan bukan sebagai C2 utama, melainkan sebagai infrastruktur signaling dan relay yang sepenuhnya legitimate. Hal ini membuat takedown infrastruktur menjadi sangat sulit karena layanan yang digunakan adalah layanan yang sah dan digunakan oleh jutaan aplikasi web. Pendekatan ini mirip dengan teknik domain fronting yang pernah populer, namun dengan tingkat abstraksi yang lebih tinggi karena tidak hanya menyamarkan tujuan, melainkan menyamarkan seluruh keberadaan traffic C2 di dalam traffic browser normal.
Secara teknis, penggunaan WebRTC DataChannel dengan relay TURN melalui Twilio adalah pilihan yang sangat cerdas. WebRTC dirancang untuk peer-to-peer communication, namun dengan menghilangkan ICE candidates untuk P2P, semua komunikasi dipaksa melalui relay TURN. Hal ini memastikan bahwa IP address penyerang tidak pernah terlihat dalam traffic. Enkripsi ganda dengan ChaCha-Poly1305 di atas DTLS menambah lapisan keamanan yang berlebihan namun efektif: bahkan jika DTLS di-strip oleh adversary-in-the-middle, payload tetap terlindungi. Penggunaan MSI installer dengan curl pada HTTP port 443 menunjukkan bahwa penyerang memahami kelemahan firewall yang sering kali hanya memeriksa port number tanpa memeriksa protokol sebenarnya. Semua komponen ini digabungkan menjadi rantai yang sangat stealthy dan reliable.
Bagi lanskap keamanan siber Indonesia, msaRAT adalah sinyal bahwa teknik evasi modern telah melampaui kemampuan tool monitoring jaringan tradisional yang banyak digunakan oleh korporasi dan instansi pemerintah. Banyak organisasi masih mengandalkan IDS/IPS berbasis signature dan firewall stateful yang tidak mampu membedakan antara JavaScript yang dijalankan oleh browser pada saat browsing normal versus JavaScript yang diinject oleh malware melalui CDP. Investasi pada EDR yang memantau behavior pada level endpoint, bukan hanya traffic pada level jaringan, menjadi sangat penting. Selain itu, kebijakan yang membatasi remote debugging pada browser dan mewajibkan application control untuk mencegah eksekusi MSI dari sumber tidak dikenal harus menjadi standar minimum pada setiap endpoint enterprise. Tanpa transisi ini, defender Indonesia akan terus kalah dalam asimetri visibility terhadap malware yang semakin canggih.
Sumber: Cisco Talos / SecurityAffairs
