The Chaos ransomware group uses new malware "msaRAT" that hijacks browsers. The malware doesn't communicate directly with C2 but connects through the browser. It enables arbitrary command execution…

Chaos ransomware employs msaRAT to leverage browser traffic, evading network detection and exposing serious vulnerabilities for defenders.

Chaos ransomware employs msaRAT to disguise its C2 traffic, evading detection. The implications for network defenses deserve scrutiny and skepticism.

Chaos ransomware emplea msaRAT, un troyano que usa Chrome DevTools para ocultar su comunicación y evitar ser detectado en redes corporativas.

Cisco Talos uncovered msaRAT, a Chaos ransomware RAT that hides C2 traffic by routing it through Chrome or Edge browsers.

The Chaos ransomware group uses new malware "msaRAT" that hijacks browsers. The malware doesn't communicate directly with C2 but connects through the browser. It enables arbitrary command execution wh...

Cisco Talos uncovered msaRAT, a Chaos ransomware RAT that hides C2 traffic by routing it through Chrome or Edge using the Chrome DevTools Protocol. Cisco Talos disclosed msaRAT, a Rust-based remote access trojan attributed to the Chaos ransomware group that routes its entire command-and-control channel through the victim’s own Chrome or Edge browser. The malware […]

Cisco Talos reports that the Chaos ransomware gang is using msaRAT, a Rust-based backdoor that hides command-and-control traffic by routing it through Chrome or Edge via the Chrome DevTools Protocol. By relaying communications through Cloudflare Workers and Twilio TURN, the malware avoids direct connections to attacker infrastructure and makes detection much harder. #Chaos #msaRAT #CiscoTalos #CloudflareWorkers #TwilioTURN

msaRAT, a new remote access trojan, is targeting Windows machines using Chromium-based browsers to stage ransomware attacks.

The Chaos ransomware gang is using a new backdoor dubbed msaRAT that hides command-and-control (C2) communication by routing it through the Chrome or Edge browsers.

Chaos ransomware's new msaRAT hijacks headless Chrome to run its C2, so attacker traffic leaves the host as ordinary WebRTC, researchers say.

Chaosランサムウェアの新バックドア「msaRAT」、ChromeやEdgeブラウザを使ってC2通信をルーティング｜中国関連の脅威クラスターJadeProx、政府・医療部門への攻撃で新たなローダーTriBackを使用

The Chaos ransomware gang is deploying a new backdoor malware named msaRAT, which conceals its command-and-control (C2) traffic by routing it through Google Chrome or Microsoft Edge browsers. This technique aims to evade detection by blending malicious communications with legitimate browser traffic. No specific dates, CVE IDs, or technical indicators (e.g., hashes, IPs) were provided in the reported details. The malware’s primary function is to facilitate C2 communication, though further impacts or attack vectors were not explicitly described. The discovery highlights an evolution in threat actor tactics to bypass security monitoring.

At a glance Malware family msaRAT, a Rust remote access trojan Threat actor Chaos ransomware group (confirmed by Cisco Talos) Target or victims Windows hosts inside already-breached large organizations; no victim count published Delivery vector Post-compromise MSI installer disguised as a Windows update Key capabilities Remote shell, browser hijacking via Chrome DevTools Protocol, WebRTC tunneling, double encryption Source

Cisco Talosは、ランサムウェアグループ「Chaos」が利用する新型RAT「msaRAT」を確認したと発表した。マルウェア自身がインターネットに接続せず、ChromeやEdgeを乗っ取り“通信役”として悪用するのが特徴だという。

The Chaos ransomware gang is using a new backdoor dubbed msaRAT that hides command-and-control (C2) communication by routing it through the Chrome or Edge browsers.

Um novo código malicioso utiliza os navegadores Google Chrome e Microsoft Edge como fachada para ocultar o envio de comandos e o roubo de dados. Descrito por pesquisadores da empresa de cibersegurança Cisco Talos como **“msaRAT”** , o Cavalo de Troia de Acesso Remoto (RAT) pertence ao grupo de cibercriminosos Chaos e consegue burlar sistemas de defesa tradicionais por meio de camuflagem. Ao contrário de invasões que exploram falhas diretas no software, o **msaRAT** assume o controle do navegador instalado no computador e realiza conexões em nome dele. Com essa tática, o vírus não faz conexões diretas com os servidores dos criminosos e evita a emissão de alertas em firewalls. ## Como o ataque acontece O golpe começa por meio de mensagens enganosas por e-mail ou chamadas de voz – abordagem conhecida tecnicamente como _phishing_. Os invasores induzem a vítima a baixar um instalador com a falsa promessa de uma atualização do **Windows**. Assim que executado, esse arquivo carrega o código malicioso diretamente na memória do sistema. Cadeia de infecção (Reprodução/Cisco Talos) Na etapa seguinte, o **msaRAT** localiza o Chrome ou o Edge no computador e inicia o programa em modo invisível, sem janela aberta. Em seguida, o código ativa a interface de depuração do próprio navegador, uma ferramenta criada originalmente para desenvolvedores. Através desse recurso, o vírus injeta scripts e força o navegador a abrir canais de comunicação criptografados. ## Infraestrutura camuflada Para ocultar a origem dos comandos, **o malware direciona a comunicação a partir de serviços legítimos de nuvem da Cloudflare e de infraestruturas da Twilio.** De acordo com os analistas da Cisco Talos, “o endereço IP real do servidor do invasor nunca aparece no tráfego de rede”, o que dificulta o rastreamento e o bloqueio da operação por equipes de TI. O grupo Chaos atua no cenário internacional. Em análises da empresa de cibersegurança Rapid7, estes cibercriminosos foram associados a operações do grupo iraniano MuddyWater, que costuma mascarar ações de espionagem sob o disfarce de ataques de extorsão financeira. A Cisco Talos disponibilizou, em seu relatório oficial, a lista de Indicadores de Comprometimento (IoCs) para ajudar empresas a identificarem a presença do vírus em suas redes. Por falar em malwares perigosos, o vírus ACR Stealer também entrou no radar de grandes empresas de tecnologia. A Microsoft identificou um aumento expressivo nos ataques que utilizam este programa malicioso, que atua de forma silenciosa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.