Новый троянец msaRAT прячет связь с хакерами внутри Chrome и Edge

23.07.2026

Группировка Chaos ransomware начала использовать новый бэкдор msaRAT, который маскирует связь с командным сервером через браузеры Chrome и Microsoft Edge. По данным BleepingComputer, вредонос не подключается к C2-инфраструктуре напрямую, а прокладывает канал управления через браузерную сессию.

msaRAT написан на Rust и использует Chrome DevTools Protocol. После запуска он ищет Chrome или Edge, открывает браузер в headless-режиме без видимого окна, включает интерфейс удаленной отладки и через CDP внедряет JavaScript в новую вкладку. Этот код строит канал связи, обходит Content Security Policy и регистрирует механизмы обмена командами.

Схема опасна тем, что для защитных систем трафик выглядит как обычная активность браузера. Дальше соединение уходит к Cloudflare Workers, а передача данных идет через Twilio TURN-серверы и WebRTC. Исследователи Cisco Talos отмечают, что такая архитектура скрывает настоящий IP-адрес сервера злоумышленников и усложняет блокировку инфраструктуры.

В атаках, которые наблюдали специалисты, проникновение начиналось с email- или voice-фишинга. После закрепления злоумышленник загружал MSI-инсталлятор, замаскированный под обновление Windows, а тот запускал msaRAT прямо в памяти системы.

Для компаний это важный сигнал: блокировка «подозрительных доменов» уже не закрывает проблему, если вредонос прячется за легитимными браузерами, Cloudflare и Twilio. Детектировать такие атаки придется по поведению: запуску браузера в headless-режиме, включению remote debugging, необычной активности CDP и нестандартному WebRTC-трафику.