LONDON (IT BOLTWISE) – Eine neue Malware namens msaRAT nutzt Browser-Prozesse, um unbemerkt in Netzverkehr und Angriffsketten einzusteigen. Sicherheitsforscher ordnen den Remote-Access-Trojaner als Werkzeug eines Ransomware-Umfelds ein. Besonders alarmierend: msaRAT kapert Chrome und Microsoft Edge über das Chrome DevTools Protocol und startet die Browser im Headless-Modus. Damit fließt der Schadcode-Verkehr über legitime Browser-Signale – ein Szenario, das klassische Filter schwerer abfangen können.
Wer Endpunkte nur anhand von „bekannten“ Dateien oder klassischen Netzwerk-Signaturen absichert, läuft bei msaRAT schnell in eine blinde Zone. Der Remote-Access-Trojaner ist in Rust umgesetzt und tarnt sich als legitime Webbrowser-Aktivität – konkret in den Prozessen von Google Chrome und Microsoft Edge. Damit verschiebt sich der Fokus in der Erkennung von der Frage „Welche Datei ist verdächtig?“ hin zu „Welches Verhalten erzeugt ein Browser, das so nicht dazugehört?“ Genau dieser Perspektivwechsel ist bei modernen Erpresserkampagnen immer häufiger nötig.
Technisch betrachtet nutzt msaRAT das Chrome DevTools Protocol, um den Browser nicht nur zu steuern, sondern ihn als Transport- und Ausführungsumgebung für den Angriffsablauf zu missbrauchen. Besonders wichtig ist dabei der Headless-Modus: Der Browser läuft im Hintergrund ohne sichtbare Benutzeroberfläche. Praktisch bedeutet das, dass Benutzeraktionen wie Klicks und Seitendarstellungen ausbleiben, während die Malware dennoch mit der Browser-Logik interagiert, um ihren Datenverkehr „durch“ einen scheinbar legitimen Client zu schmuggeln. Für Verteidiger wird das dadurch knifflig, dass Telemetrie und Prozessbeziehungen zwar Hinweise liefern können, aber die eigentliche Anomalie häufig im Innenleben des Browser-Workflows steckt.
Die Infrastruktur dahinter ist so aufgebaut, dass sie sich möglichst gut in bestehende Webmuster einfügt. Laut Analyse greifen Komponenten wie Cloudflare Workers für die Signalisierung und Twilio TURN-Server ein, um Daten über WebRTC umzuleiten. Das ist ein Designprinzip, das sich in vielen realen Angriffsarchitekturen wiederfindet: Statt reine „Command-and-Control“-Verbindungen aufzubauen, vermischt die Malware ihren Kontrollkanal mit Kommunikationsmustern, die Netzsegmentierungen und „Block-by-Default“-Ansätze oft weniger zuverlässig treffen. In der Folge kann es passieren, dass Telemetrie zwar Cloud- und Browser-Aktivität sieht, aber die Korrelation zu verdächtigen Steuervorgängen fehlt – insbesondere dann, wenn die Security-Teams primär statische Indikatoren pflegen.
Noch deutlicher wird das Problem durch die Verschlüsselung der Kommunikation. Die Kampagne verwendet Datagram Transport Layer Security zusammen mit ChaCha20-Poly1305 sowie einem Elliptic-Curve-Diffie-Hellman-Schlüsselaustausch. Aus Verteidigersicht heißt das: Selbst wenn man den Datenstrom abgreifen könnte, bleibt die Nutzlast in der Regel unlesbar, weil die kryptografische Schicht die Inhalte schützt und damit klassische Deep-Packet-Inspektion erschwert. Für die Praxis verschiebt sich die Abwehr daher stärker auf Verhaltenssignaturen auf Endpoint-Ebene, Timing- und Prozess-Korrelationen sowie auf die Frage, ob ein Headless-Browser in einem Kontext auftaucht, in dem er nicht zu erwarteten Workflows passt.
Der Infektionsweg startet typischerweise „harmlos“ über Spam-Mails oder Vishing-Anrufe. Ziel ist, dass Opfer ein bösartiges MSI-Installationspaket ausführen. Auffällig ist dabei der Einsatz von curl.exe zum Download einer Datei mit dem Namen update_ms.msi – ein Tarnmuster, das sich wie ein normales Windows-Update liest und so die Aufmerksamkeit reduziert. Entscheidend für die weitere Stealth-Phase ist danach, wie msaRAT ausgeführt wird: Der Installer lädt die msaRAT-DLL direkt in den Arbeitsspeicher. Dadurch werden Dateien auf der Festplatte, die typischerweise Antiviren-Scans auslösen würden, bewusst vermieden – ein Ansatz, der sowohl klassische Datei-Scanner als auch manche „nur-at-rest“-Erkennungsstrategien austrocknet.
Welche Signale helfen dann dennoch? Für die Erkennung empfehlen Experten, gezielt nach Browser-Instanzen mit Remote-Debugging-bezogenen Flags zu suchen. Ebenso verdächtig sind ungewöhnliche Debugging-Ports sowie abweichende Benutzerdaten-Verzeichnisse, weil diese oft die Headless- oder Automationsumgebung widerspiegeln. Auf Monitoring-Seite rückt außerdem die Verhaltenssicht in den Vordergrund: Endpoint Detection and Response sollte Browser-Telemetrie mit Prozessketten zusammenführen, etwa um festzustellen, ob ein Headless-Browser in kurzer Zeit konsistent mit Download- und Ladeprozessen zusammenhängt. Ergänzend können Security-Produkte mit passenden Signaturen arbeiten – im konkreten Fall wurden offenbar spezielle Erkennungslogiken für den Chaos-Downloader bereitgestellt, was zeigt, dass auch die „Einstiegsphase“ innerhalb der Kampagne sichtbar gemacht werden kann, bevor der eigentliche Fernzugriff voll durchläuft.
Ein zusätzlicher Kontext für die Dringlichkeit: Die Chaos-Ransomware-Gruppe ist seit Februar 2025 als Ransomware-as-a-Service-Operation aktiv. Dass msaRAT als Remote-Access-Trojaner in dieses Umfeld passt, legt nahe, dass die Malware nicht als isoliertes Tool gedacht ist, sondern als Baustein in einer professionell orchestrierten Angriffsabfolge. Für Unternehmen bedeutet das: Prävention darf sich nicht nur auf „Ransomware erkennen“ beschränken, sondern muss auch das vorgelagerte Engineering adressieren – also die Phasen, in denen Installer-Downloads, Speicherinjektionen und Browser-Kapern gemeinsam stattfinden. Wer diese Kette frühzeitig erkennt, gewinnt Zeit für Incident Response, Segmentierung und die Absicherung privilegierter Zugriffe, bevor aus einem Erstzugriff ein dominanter Kontrollverlust wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "msaRAT: Neuer Rust-Trojaner kapert Chrome- und Edge-Instanzen per Headless" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "msaRAT: Neuer Rust-Trojaner kapert Chrome- und Edge-Instanzen per Headless" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »msaRAT: Neuer Rust-Trojaner kapert Chrome- und Edge-Instanzen per Headless« bei Google Deutschland suchen, bei Bing oder Google News!