Chaos Ransomware nutzt msaRAT für C2-Verkehr

Die Chaos-Ransomware-Gruppe hat eine neuartige Methode entwickelt, um ihren Command-and-Control (C2)-Verkehr über die eigenen Browser der Opfer zu leiten. Laut einem Bericht von Cisco Talos, veröffentlicht am 25. Juli 2026, wird dabei ein Rust-Implantat namens msaRAT eingesetzt, das auf kompromittierten Windows-Maschinen entdeckt wurde. Diese Technik ermöglicht es den Angreifern, die Kommunikation zu verschleiern und die Entdeckung durch Sicherheitslösungen zu erschweren. Das msaRAT-Implantat zeichnet sich dadurch aus, dass es keine eigenen ausgehenden Verbindungen öffnet.

Stattdessen kommuniziert es ausschließlich mit der lokalen Adresse 127.0.0.1. Diese Vorgehensweise stellt sicher, dass der gesamte Datenverkehr über den Browser des Opfers geleitet wird, was die Erkennung durch Sicherheitssoftware erheblich erschwert. Um den C2-Verkehr zu realisieren, startet msaRAT entweder Chrome oder Edge im headless Modus. In diesem Modus wird der Browser ohne grafische Benutzeroberfläche betrieben, was es den Angreifern ermöglicht, automatisierte Skripte auszuführen, ohne dass der Benutzer es bemerkt. Diese Technik ist besonders effektiv, da sie die üblichen Verhaltensmuster von Malware vermeidet, die oft auf ausgehende Verbindungen angewiesen sind.

Die Verwendung von headless Browsern ist nicht neu, jedoch ist die Kombination mit einem Ransomware-Angriff eine innovative Strategie. Die Chaos-Gruppe hat sich in der Vergangenheit durch die Anwendung fortschrittlicher Techniken hervorgetan, und die Implementierung von msaRAT zeigt, dass sie weiterhin an der Spitze der Cyberkriminalität bleibt. Sicherheitsforscher warnen, dass diese Methode möglicherweise auch von anderen Gruppen übernommen werden könnte. Die Entdeckung von msaRAT erfolgt in einem Kontext, in dem Ransomware-Angriffe weltweit zunehmen. Laut dem Cybersecurity-Report 2026 von Cybersecurity Ventures wird erwartet, dass die Kosten für Ransomware-Angriffe bis Ende des Jahres auf 20 Milliarden US-Dollar steigen.

Diese Zahl verdeutlicht die Dringlichkeit, mit der Unternehmen ihre Sicherheitsmaßnahmen verstärken müssen. Die Analyse von Cisco Talos zeigt, dass die Chaos-Gruppe nicht nur auf die Verschlüsselung von Daten abzielt, sondern auch versucht, die Kontrolle über die Systeme der Opfer zu erlangen. Dies geschieht durch die Installation von weiteren Schadprogrammen, die über den Browser geladen werden. Die Forscher haben festgestellt, dass msaRAT in der Lage ist, zusätzliche Payloads herunterzuladen und auszuführen, was die Bedrohung für die Opfer erheblich erhöht. Um sich gegen solche Angriffe zu schützen, empfehlen Experten, regelmäßige Sicherheitsupdates durchzuführen und umfassende Schulungen für Mitarbeiter anzubieten.

Die Implementierung von Multi-Faktor-Authentifizierung und die Verwendung von modernen Endpoint-Security-Lösungen können ebenfalls dazu beitragen, das Risiko eines Ransomware-Angriffs zu minimieren. Unternehmen sollten zudem ihre Netzwerke kontinuierlich überwachen, um verdächtige Aktivitäten frühzeitig zu erkennen. Die Chaos-Gruppe hat in der Vergangenheit bereits mehrere hochkarätige Angriffe durchgeführt, darunter auf große Unternehmen und kritische Infrastrukturen. Die neue Technik mit msaRAT könnte es ihnen ermöglichen, noch erfolgreicher zu agieren.

Sicherheitsforscher raten dazu, die Entwicklungen in diesem Bereich genau zu beobachten und entsprechende Maßnahmen zu ergreifen. Die Entdeckung von msaRAT und der damit verbundenen Techniken stellt einen weiteren Schritt in der Evolution von Ransomware dar. Die Sicherheitsgemeinschaft muss sich kontinuierlich anpassen, um mit den sich ständig weiterentwickelnden Bedrohungen Schritt zu halten. Cisco Talos hat angekündigt, weitere Informationen über msaRAT und seine Funktionsweise in den kommenden Wochen zu veröffentlichen.