Chaos Ransomware Manfaatkan msaRAT untuk Rute C2 via Headless Chrome dan Edge

Chaos ransomware kembali menunjukkan metode serangan canggih dengan menggunakan implant msaRAT yang berjalan pada sistem Windows korban untuk mengalihkan lalu lintas command and control (C2) melalui browser korban sendiri, yaitu Chrome atau Edge dalam mode headless. Teknik ini terungkap dalam analisis mendalam yang dipublikasikan oleh Cisco Talos pada 23 Juli 2026.

Bagaimana msaRAT Mengendalikan Lalu Lintas C2

Berbeda dengan malware tradisional yang membuka koneksi keluar langsung ke server penyerang, msaRAT memilih jalur tersembunyi. Proses malware ini hanya berkomunikasi dengan loopback address 127.0.0.1, tanpa membuka koneksi jaringan langsung. Selanjutnya, msaRAT memulai browser Chrome atau Edge dalam mode headless (tanpa tampilan GUI) dengan mengaktifkan Chrome DevTools Protocol (CDP), yaitu API debugging browser yang memungkinkan kontrol penuh terhadap browser tersebut.

Semua pesan C2 kemudian dikirimkan melalui WebRTC data channel yang dilalukan oleh layanan Twilio TURN sebagai relay, sehingga yang terlihat oleh pengawas jaringan hanyalah komunikasi browser ke Cloudflare dan Twilio. Alamat server penyerang tidak pernah muncul secara eksplisit dalam lalu lintas jaringan.

Teknik Penggunaan Browser Headless yang Canggih

msaRAT pertama mencari keberadaan Chrome atau Edge di sistem korban melalui variabel lingkungan (environment variables), jika tidak ditemukan akan melakukan pencarian di registri Windows untuk Chrome. Jika browser ditemukan, malware akan menjalankan browser tersebut dengan opsi --headless=new dan mengaktifkan CDP melalui --remote-debugging-port. Untuk menghindari pembatasan Google terhadap debugging profil default sejak Chrome 136, msaRAT membuat direktori profil pengguna sendiri agar tetap bisa mengendalikan browser tanpa hambatan.

Setelah browser aktif, malware meminta daftar target debug melalui endpoint /json/list/. Kemudian malware membuka tab baru, mematikan kebijakan keamanan konten (Content Security Policy) dengan perintah Page.setBypassCSP, dan mendaftarkan lima callback JavaScript yang menjadi mekanisme komunikasi utama antara malware dan browser.

Empat callback utama yang dianalisis Talos adalah msaOpen, msaClose, msaError, dan msaMessage yang menjadi dasar pemberian nama msaRAT. Callback kelima bernama dataAck.

Penggunaan Cloudflare Worker dan Twilio TURN untuk Menyembunyikan Server C2

JavaScript yang diinjeksikan mencakup pengambilan konfigurasi STUN dan TURN dari Cloudflare Worker dengan domain is-01-ast.ols-img-12.workers.dev. Dalam komunikasi ini, header Origin dan Referer dibuat seolah berasal dari situs Microsoft untuk mengelabui pengawas jaringan.

Setelah membangun koneksi peer, jawaban yang diterima tidak mengandung kandidat ICE dan alamat koneksi diatur ke 0.0.0.0, artinya tidak ada koneksi peer-to-peer langsung. Seluruh channel data dialihkan melalui layanan relay Twilio di global.turn.twilio.com. Setelah kanal data aktif, Cloudflare Worker tidak lagi terlibat dalam jalur komunikasi.

Semua lalu lintas dienkripsi dua lapis: pertama oleh protokol DTLS browser, dan kedua oleh skema ChaCha-Poly1305 yang menggunakan kunci hasil pertukaran ECDH, dimulai dengan frame handshake 0xFE dari server C2.

Proses Eksekusi Perintah dan Kemampuan Transfer Data Besar

Perintah yang diterima malware kemudian diteruskan ke cmd.exe untuk dieksekusi dengan opsi yang mengaktifkan ekspansi perintah dan menonaktifkan variabel. Talos mengamati antrean pengiriman dan kontrol aliran yang memungkinkan pengiriman data besar seperti screenshot atau file secara andal.

Asal Usul dan Penyebaran msaRAT

Menurut laporan Talos, msaRAT muncul di komputer korban setelah operator ancaman berhasil mendapatkan eksekusi awal, tetapi sebelum ransomware sebenarnya dijalankan. Cara infeksi awal tidak disebutkan secara spesifik, namun pola serangan Chaos diketahui melibatkan spam, vishing, dukungan jarak jauh Quick Assist, dan alat manajemen jarak jauh (RMM) untuk mempertahankan akses.

Malware ini diunduh dengan perintah curl.exe yang mengambil file MSI dari server beralamat IP 172.86.126.18 melalui port 443 dengan protokol HTTP biasa tanpa enkripsi. Firewall yang hanya memfilter berdasarkan nomor port tanpa inspeksi protokol membiarkan lalu lintas ini lewat. File MSI berkamuflase sebagai pembaruan Windows dan memuat DLL msaRAT yang langsung dijalankan di memori.

Catatan Perburuan dan Pencegahan

Karena msaRAT tidak mengeksploitasi kerentanan browser, tidak ada patch browser yang dapat melindungi dari metode ini. Sinyal utama yang bisa digunakan untuk deteksi adalah perilaku proses, yaitu browser Chrome atau Edge yang dijalankan oleh proses selain pengguna dengan parameter --headless=new dan --remote-debugging-port aktif.

Deteksi dapat diperkuat dengan memonitor lalu lintas loopback ke port debugging dan aktivitas WebRTC keluar. Organisasi dengan aktivitas browser otomatisasi atau continuous integration harus membedakan proses legal dari yang berbahaya.

Talos belum merilis file hash msaRAT, hanya indikator jaringan berupa IP staging dan hostname Cloudflare Worker yang dapat digunakan sebagai referensi awal. Namun, domain workers.dev merupakan domain bersama yang dapat digunakan siapa saja, dan Twilio TURN adalah layanan resmi yang juga digunakan aplikasi asli sehingga pemblokiran bisa berdampak negatif luas.

Analisis Redaksi

Menurut pandangan redaksi, penggunaan browser headless yang dikendalikan melalui CDP untuk melewatkan komunikasi C2 adalah langkah yang dinilai kontroversial dan menunjukkan tingkat kecanggihan serangan yang semakin mengaburkan jejak. Dengan memanfaatkan sumber daya korban sendiri, seperti browser yang sudah ada dan layanan cloud pihak ketiga, penyerang berhasil menyembunyikan server asli dan menghindari deteksi tradisional berbasis IP atau domain.

Ini menandakan tren serangan ransomware yang tidak hanya bergantung pada teknik eksploitasi, tetapi juga inovasi dalam pengalihan komunikasi dan penyamaran aktivitas jahat. Oleh karena itu, organisasi perlu memperkuat pengawasan perilaku proses dan memperhatikan anomali dalam penggunaan browser, terutama instance headless yang tidak biasa.

Ke depannya, pengembangan solusi keamanan yang mampu mengidentifikasi penggunaan CDP secara mencurigakan dan integrasi analitik lalu lintas WebRTC akan menjadi fokus penting. Selain itu, edukasi terhadap tim TI untuk memahami teknik serangan modern seperti msaRAT juga sangat krusial agar dapat merespons dengan cepat dan tepat.

Untuk informasi lengkap dan update terbaru, Anda dapat membaca laporan asli dari The Hacker News serta mengikuti berita keamanan siber dari sumber terpercaya.