「いつものChrome」が攻撃の踏み台に？ マルウェア「msaRAT」の脅威と、情シスが今すぐやるべきこと：正規ブラウザが攻撃者の隠れみのに

Cisco Talosは、ランサムウェアグループ「Chaos」が利用する新型RAT「msaRAT」を確認したと発表した。マルウェア自身がインターネットに接続せず、ChromeやEdgeを乗っ取り“通信役”として悪用するのが特徴だという。

[＠IT]

　Cisco Systemsの脅威インテリジェンス部門「Cisco Talos」は2026年7月23日（現地時間）、ランサムウェアグループ「Chaos」が利用する新たな遠隔操作マルウェア（RAT）「msaRAT」を確認したと発表した。

　msaRATはプログラミング言語「Rust」で開発されており、最大の特徴はマルウェア自身が外部ネットワークに直接通信しないことだ。代わりに端末の「Google Chrome」（以下、Chrome）や「Microsoft Edge」（以下、Edge）を起動し、それらに通信を担わせる。さらに「Cloudflare Workers」やTwilioのTURNサーバといった正規サービスを経由することで、攻撃者が管理するC2（コマンド＆コントロール）サーバの実体を隠し、検知や遮断を難しくしているという。

Chromeが攻撃者の“通信役”に　msaRATを使うランサムウェア攻撃の全貌

　Chaosは2025年ごろから活動が確認されているRaaS（Ransomware as a Service）グループだ。データリークサイトへの掲載件数は比較的少ないが、大規模組織を狙い、ファイルを暗号化するだけでなく、盗み出したデータの公開をちらつかせて身代金を要求する「二重脅迫」を用いることが確認されている。

　初期侵入にはスパムメールや電話を利用したソーシャルエンジニアリングを使用し、侵入後はRMM（Remote Monitoring and Management）ツールで遠隔操作を維持しながら、正規のファイル共有ソフトウェアを使ってデータを持ち出す手口を採る。

　Cisco Talosの分析では、攻撃者は侵入後、ランサムウェアを実行する前段階で「curl」を使い、攻撃者が管理するサーバから「update_ms.msi」を端末の「C:\ProgramData」配下にダウンロードして実行していた。

　通信には443番ポートを使用していたが、TLSで暗号化されたHTTPSではなく、実際にはHTTPで通信していた。そのため、通信の内容を確認せず、ポート番号だけを基準に許可するような単純なネットワーク制御では見逃される可能性がある。MSIファイルにはWindows Updateを装う情報が設定され、正規の更新プログラムを装って実行されるよう細工されていた。

　MSIは処理の最後に内部の「lib.dll」をメモリに読み込み、このDLLに含まれるmsaRAT本体を起動する構造だった。Cisco Talosは、マルウェア取得後の端末にランサムノートも確認しており、このRATがランサムウェア攻撃の一連の流れの中で利用されていたとみている。

マルウェアは通信しない　WebRTCと正規サービスでC2を隠す仕組み

　msaRATは起動後、端末内のChromeやEdgeを探し、見つかったWebブラウザを画面を表示しないヘッドレスモードで起動する。その際、「Chrome DevTools Protocol」（CDP）と呼ばれるWebブラウザのデバッグ用インタフェースを有効化し、CDPのAPIを利用してWebブラウザを遠隔操作する。

　続いて、Webブラウザ内にJavaScriptコードを読み込ませ、WebRTC通信を開始させる。WebRTCは本来、Web会議や音声・動画通話で利用されるリアルタイム通信技術だが、msaRATはこれをC2通信に悪用していた。

　JavaScriptはまずCloudflare Workersに接続し、通信に必要な設定情報を取得する。その後、WebRTC接続を確立するためのシグナリングを実施し、最終的な通信にはTwilioが提供するTURNサーバを利用する。

　TURNは、本来P2P通信が確立できない場合に通信を中継するための仕組みだ。今回の事例では、攻撃者側は端末同士の直接通信（P2P）が成立しないよう応答を返しており、通信は常にTwilioのTURNサーバを経由していた。この構成により、実際の攻撃者サーバのIPアドレスを通信経路から隠蔽（いんぺい）していた。

　Cloudflare Workersが利用されるのは接続を開始するまでのシグナリングだけで、接続確立後のC2通信はWebRTCのDataChannelを通じて送受信される。受信したデータはWebブラウザからmsaRATに渡され、逆にmsaRATから送信するデータはWebブラウザ側でWebRTC通信に変換される。送信待ちデータをキューで管理する仕組みも備えており、大容量データでも継続的に送受信できる構造になっていた。

　通信はWebRTCが標準で採用するDTLSによって保護される他、msaRAT自身もChaCha20-Poly1305による暗号化を実施する。通信に使用する鍵はECDH（楕円曲線ディフィー・ヘルマン鍵共有）によって接続時に生成されるため、通信経路とデータの双方が保護される二重の暗号化構造となっている。

　最大の特徴は、msaRAT自身はローカルホストでCDPとだけ通信し、インターネットに直接接続しない点にある。外部通信は全てChromeやEdgeが正規のWebRTC通信として実施するため、ネットワークでは通常のWebブラウザ通信と区別しにくい。さらにCloudflare WorkersとTwilioの正規サービスを組み合わせることで攻撃基盤を隠蔽しており、従来の通信監視やIPアドレスを基にした遮断だけでは発見が難しくなる可能性があるとして、Cisco Talosは注意を呼び掛けている。

新型マルウェアに対して取るべき防御策は？

　今回の手法ではIPアドレスやドメインを単純にブロックする対策だけでは十分とは言えない。ChromeやEdgeがヘッドレスモードで起動していないかどうか、CDPが有効化されていないかどうかといった端末上の挙動を監視するとともに、WebRTC通信や正規クラウドサービスへのアクセスであっても、通常とは異なる通信量や接続先の変化を継続的に分析することが重要になる。