Группа злоумышленников, известная как Chaos, внедрила свою систему управления и контроля (C2) через браузер жертвы. В четверг специалисты Cisco Talos представили подробности о msaRAT, ржавом импланте, который был обнаружен на скомпрометированной Windows-машине перед активацией шифровальщика. Этот имплант не устанавливает исходящее соединение самостоятельно. Вместо этого его процесс взаимодействует только с локальным адресом 127.0.0.1.

Механизм работы msaRAT заключается в том, что он запускает браузеры Chrome или Edge в безголовом режиме, что позволяет злоумышленникам управлять трафиком без необходимости открывать внешние соединения. Это делает обнаружение и блокировку такого вида атаки значительно сложнее для систем безопасности.

В результате, злоумышленники получают возможность скрытно контролировать действия жертвы и передавать данные, не вызывая подозрений со стороны систем защиты. Использование браузеров в безголовом режиме также позволяет им обходить традиционные методы обнаружения, которые могут быть нацелены на стандартные соединения.

Специалисты по кибербезопасности рекомендуют пользователям быть особенно внимательными к подозрительным активностям на своих устройствах и следить за обновлениями программного обеспечения. Важно также применять надежные антивирусные решения и системы обнаружения вторжений для защиты от подобных угроз.

С учетом растущей популярности таких методов атаки, важно, чтобы организации и пользователи оставались на чеку и принимали все необходимые меры для защиты своих данных и систем от киберугроз.

Источник новости:
The Hacker News

Читать полностью