Cisco Talos beschreibt msaRAT als Backdoor, das gezielt darauf ausgelegt ist, die C2-Kommunikation im normalen Webverkehr zu verbergen. Nach dem Start sucht die Malware nach Chrome oder Microsoft Edge und startet den gefundenen Browser im Headless-Modus, also ohne sichtbares Fenster. Anschließend aktiviert sie die Remote-Debugging-Schnittstelle des Browsers, verbindet sich über das Chrome DevTools Protocol und öffnet einen neuen Tab, in den sie per CDP-Befehlen JavaScript einschleust.

Dieses JavaScript übernimmt laut Talos mehrere Aufgaben zugleich: Es baut den Kommunikationskanal auf, umgeht die Content Security Policy von Chrome und registriert verschiedene CDP-Bindings, die den Datenaustausch ermöglichen. Nach dieser Vorbereitung kontaktiert der Browser einen Cloudflare-Workers-Endpunkt unter is-01-ast[.]ols-img-12[.]workers[.]dev, um WebRTC-Verbindungsinformationen abzurufen und einen verschlüsselten Kanal einzurichten.

Talos zufolge ist die Kommunikation doppelt abgesichert. Eine Ebene liefert WebRTC DTLS, das der Browser automatisch bereitstellt. Hinzu kommt eine zweite Verschlüsselungsschicht mit ChaCha20-Poly1305 und einem ECDH-Schlüssel, die direkt von msaRAT implementiert wird.

Für die Übertragung nutzt die Malware Twilio-TURN-Server mit einer speziellen Konfiguration, die direkte Peer-to-Peer-Verbindungen verhindert. Cisco erklärt, dass dafür absichtlich jene ICE-Kandidaten weggelassen werden, die in üblichen WebRTC-Verbindungen normalerweise vorhanden sind. Dadurch komme keine P2P-Verbindung zustande, sodass der gesamte Datenverkehr stets über TURN geleitet werde.

Der Sicherheitsgewinn für die Angreifer ist laut Cisco erheblich: Wenn der Verkehr über den legitimen Dienst von Twilio läuft, taucht die echte IP-Adresse des Angreifer-Servers im Netzwerkverkehr nicht auf. In Kombination mit Cloudflare Workers werde es dadurch deutlich schwieriger, die Infrastruktur der Angreifer zurückzuverfolgen. Zudem weist Talos darauf hin, dass bei der Nutzung von Cloudflare Workers als Signalisierungs-Relay die Ziel-IP-Adresse der Cloudflare-Infrastruktur zugeordnet wird und damit automatische Prüfungen durch Firewalls und Allow-Lists passieren kann.

Erschwerend kommt hinzu, dass die kostenlose Subdomain „workers.dev“ Entwicklern allgemein zur Verfügung steht. Eine Sperrung dieser Domain würde laut Bericht auch legitime Cloudflare-Workers-Bereitstellungen und unkritische Dienste beeinträchtigen.

Die Forscher zerlegten auch das Datenaustauschsystem von msaRAT. Die Kommunikation läuft in Abschnitten, die als „Frames“ bezeichnet werden. Diese umfassen unter anderem Schlüsselaustausch, das Öffnen und Schließen von Kanälen, Sitzungsrücksetzungen und die Ausführung von Windows-Befehlen.

Rapid7 hatte bereits früher in diesem Jahr berichtet, dass Chaos von den iranischen, staatlich unterstützten Hackern MuddyWater genutzt wurde, um Cyberspionage-Operationen als finanziell motivierte Angriffe zu tarnen. Cisco Talos hat zu den beobachteten Angriffen mit dem msaRAT-Backdoor außerdem eine vollständige Liste von Kompromittierungsindikatoren veröffentlicht.