Il 23 luglio 2026 Cisco Talos ha reso noto msaRAT, un nuovo trojan di accesso remoto scritto in Rust e usato dal gruppo ransomware Chaos. Invece di collegarsi direttamente al server di comando e controllo, msaRAT dirotta un browser Chrome o Edge in modalità headless e instrada il traffico attraverso un canale WebRTC relè su Twilio, così il malware si nasconde nella normale attività del browser. Ecco cosa devono sapere e fare i difensori.
Il posto più efficace per nascondere il traffico di comando di un ransomware potrebbe essere il browser già installato su ogni macchina.
Il 23 luglio 2026 Cisco Talos ha reso noto un nuovo trojan di accesso remoto scritto in Rust, chiamato msaRAT e attribuito al gruppo ransomware Chaos. Il nome deriva dai binding delle funzioni nel codice: msaOpen, msaClose, msaError e msaMessage. Ciò che rende msaRAT insolito è il modo in cui comunica con gli operatori. L’impianto non apre mai una connessione di rete propria. Individua Chrome o Edge sulla macchina della vittima, avvia il browser in modalità headless con il debug remoto attivo e lo pilota tramite il Chrome DevTools Protocol. Il browser trasporta poi il traffico di comando e controllo su un canale WebRTC, usando un dominio Cloudflare Workers per il signaling e un relè Twilio per il collegamento, così il traffico malevolo resta sepolto nella normale attività web.
Il tuo stesso browser può diventare il canale di comando
Cisco Talos ha scoperto che il gruppo ransomware Chaos nasconde il traffico di comando e controllo dentro un normale processo Chrome o Edge. L’impianto non si collega mai da solo verso l’esterno: pilota un browser headless tramite un’interfaccia di debug e spinge il traffico attraverso servizi legittimi, così il malware si confonde con la normale attività web e sfugge agli strumenti che cercano connessioni in uscita sospette.
Cosa ha riferito Cisco Talos
I risultati, secondo l’analisi Talos pubblicata il 23 luglio 2026:
- msaRAT è un nuovo trojan di accesso remoto scritto in Rust, attribuito al gruppo ransomware Chaos e basato sul runtime asincrono Tokio.
- Controlla il canale di comando e controllo solo tramite il Chrome DevTools Protocol, senza collegarsi mai direttamente alla rete.
- Il signaling passa da un dominio Cloudflare Workers; il canale vivo è un WebRTC DataChannel instradato da un server TURN di Twilio.
- Il traffico è cifrato due volte, con il livello DTLS del browser sopra la cifratura ChaCha20-Poly1305 del malware.
La tecnica di msaRAT in numeri
I dettagli provengono dall’analisi di Cisco Talos pubblicata il 23 luglio 2026. Talos attribuisce msaRAT al gruppo ransomware Chaos e descrive l’impianto come scritto in Rust sul runtime asincrono Tokio, con l’esecuzione di codice remoto pilotata dal browser e il tunneling nascosto come capacità principali.
Perché nascondersi dentro il browser funziona così bene
msaRAT non tocca mai la rete direttamente. Controlla il canale di comando e controllo esclusivamente tramite il Chrome DevTools Protocol, un’API di debug del browser.
Come si sviluppa l’attacco
Il trucco del browser è solo la fase finale. I passaggi precedenti sono familiari e ricalcano come si sviluppa un attacco ransomware. Talos descrive la sequenza seguente, dall’accesso iniziale a un canale nascosto funzionante.
La tecnica in quattro dettagli di progetto
Quattro dettagli di progetto dentro msaRAT
Analisi di Cisco Talos sull’impianto del ransomware Chaos, luglio 2026
Cosa dovrebbero cambiare i difensori
La tabella mette a confronto ciò che gran parte del rilevamento dà per scontato con ciò che msaRAT fa davvero, e la lezione pratica su cui un team di sicurezza può agire per ciascun punto.
| Assunto del rilevamento | Cosa fa invece msaRAT | Lezione difensiva |
|---|---|---|
| Il malware apre un proprio socket di rete | L’impianto parla solo con 127.0.0.1 e lascia che il browser trasporti tutto il traffico esterno | Non affidarsi solo alla mappatura processo-rete; correlare il comportamento dei processi padre e figlio |
| Il traffico C2 raggiunge un server dell’attaccante | Il signaling va a un dominio Cloudflare workers.dev, poi il flusso passa da un relè TURN di Twilio | I relè di anonimizzazione nascondono l’endpoint reale; trattare come sospetto il WebRTC inatteso dai server |
| I browser vengono avviati dagli utenti | Un browser viene avviato headless con flag di debug remoto da un installer | Generare avvisi sui processi browser avviati con flag headless e di debug remoto da processi padre non utente |
| L’antivirus a firma intercetta il dropper | Il payload viene caricato in memoria da un MSI che finge di essere un aggiornamento di Windows | Usare EDR comportamentale con protezione anti-manomissione, non solo le firme |
Cosa va storto se lo tratti come un normale RAT
L’intero progetto è costruito per sconfiggere gli assunti su cui di solito si basa il monitoraggio di rete. Ecco le modalità di fallimento che mette in evidenza.
- ⛔ Credere che un host silenzioso senza connessioni in uscita anomale sia pulito, quando l’impianto tiene di proposito il proprio traffico su 127.0.0.1.
- ⛔ Sorvegliare solo i domini C2 noti, quando il signaling si nasconde nella piattaforma per sviluppatori di Cloudflare e il flusso passa da un relè Twilio.
- ⛔ Consentire il WebRTC in modo ampio su server e postazioni, quando è proprio il canale che questo malware abusa.
- ⛔ Affidarsi all’antivirus a firma, quando il payload viene caricato in memoria da un MSI travestito da aggiornamento di Windows.
- ⛔ Ignorare i processi browser headless, quando un browser avviato con flag di debug remoto è il cuore della tecnica.
È un miglioramento nell’evasione, non una nuova famiglia di ransomware
Chaos è un’operazione ransomware-as-a-service consolidata, attiva dall’inizio del 2025, che usa la doppia estorsione. msaRAT non cambia ciò che il gruppo cifra o ruba; rende il loro canale di comando molto più difficile da individuare sulla rete. I team che sorvegliano solo le connessioni in uscita sospette da processi anomali possono non accorgersene affatto, perché il traffico esce da un browser legittimo.
Cosa fare questa settimana
Niente di quanto segue richiede una nuova voce di budget. Ciascun punto chiude una delle lacune specifiche che questa tecnica sfrutta, dai browser headless ai relè anonimizzati. Per la checklist completa, vedi la guida su come prevenire un attacco ransomware.
- ✅ Generare avvisi quando un processo browser parte con flag headless e di debug remoto, soprattutto se il padre è un installer o uno script.
- ✅ Trattare il traffico WebRTC da server e postazioni che non navigano come un’anomalia da indagare.
- ✅ Spostare il rilevamento dalle firme al comportamento: abilitare l’EDR con protezione anti-manomissione così un payload in memoria viene intercettato all’esecuzione.
- ✅ Sorvegliare la cartella ProgramData per curl.exe e certutil.exe che scrivono eseguibili o file MSI.
- ✅ Distribuire la firma ClamAV e le regole Snort di Talos, e caricare nei propri strumenti gli indicatori di compromissione pubblicati.
- ✅ Mantenere almeno una copia di backup immutabile o offline, dato che Chaos ruba e cifra con la doppia estorsione.
Il rilevamento è possibile se guardi il browser, non solo la rete
Talos ha pubblicato copertura ClamAV e Snort e gli indicatori di compromissione. I segnali più duraturi sono comportamentali: un browser avviato headless con flag di debug remoto da un installer, curl o certutil che scrivono in ProgramData e stringhe user-agent HeadlessChrome da un server. Se stai già gestendo un incidente, conserva la nota di riscatto e un campione cifrato prima di reinstallare: è il punto di partenza per recuperare i file crittografati.
Fonti
- Cisco Talos, msaRAT del ransomware Chaos: vivere dentro il browser per un canale C2 nascosto
- The Hacker News, Chaos Ransomware usa msaRAT per instradare il traffico C2 tramite Chrome e Edge headless
- HelpRansomware, come si sviluppa un attacco ransomware
- HelpRansomware, come prevenire un attacco ransomware
- HelpRansomware, recuperare i file crittografati
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
📰 Menzionato e citato su Forbes Georgia, Business Insider Africa, LA Weekly e Il Sole 24 Ore.
📅 Ultimo aggiornamento: 24 luglio 2026
