Si usas Chrome o Edge, cuidado: un nuevo malware aprovecha los navegadores para evitar ser detectado
El malware msaRAT usa dos de los navegadores más populares en modo oculto para enmascarar su tráfico de control mediante WebRTC y CDP, haciendo casi imposible detectarlo.
Nadie se extraña ya de que los hackers busquen nuevas formas de colarse en los ordenadores, pero lo que sí sorprende es que ahora no necesitan instalar programas raros ni explotar agujeros de seguridad.
Han descubierto que la mejor forma de pasar desapercibido es utilizar algo que ya tenemos instalado y que nadie sospecha, como lo es el navegador que usamos para consultar el correo, ver vídeos o trabajar.
El grupo iraní MuddyWater, dedicado al ransomware y al acceso remoto ilegal, utilizó la vulnerabilidad Chaos para desarrollar la herramienta msaRAT que convierte Chrome o Microsoft Edge en un túnel de comunicación.
Le ordena que trabaje para ellos aprovechando funciones que el propio programa permite por diseño, de modo que todo parece tráfico web normal y los sistemas de seguridad no saltan.
El resultado es que un atacante puede mantenerse dentro de tu red durante semanas, enviar y recibir información, y preparar un ataque mayor sin que el antivirus ni el firewall detecten nada raro.
La clave está en entender que este malware no es un programa independiente que se conecta a internet. Es un backdoor escrito en Rust que permite crear software rápido y difícil de analizar, y que opera desde dentro del propio navegador.
Cómo se cuela msaRAT y qué hace exactamente
La infección suele empezar con un correo de phishing o el abuso de alguna herramienta de gestión remota que ya estuviera instalada en el ordenador.
Una vez dentro, descarga un paquete llamado update_ms.msi que parece una actualización legítima, pero que carga una librería, lib.dll, directamente en la memoria. Eso significa que casi no deja rastros en el disco duro y resulta mucho más complicado de encontrar.
A partir de ahí, el malware lanza Chrome o Edge en modo headless, es decir, sin que se abra ninguna ventana visible en la pantalla. Activa el puerto de depuración remota, una función pensada para que los desarrolladores puedan probar sus páginas desde fuera del navegador.
Usando el Chrome DevTools Protocol, conocido como CDP, msaRAT toma el control completo, donde abre pestañas, inyecta código JavaScript y salta las restricciones de seguridad sin necesidad de instalar extensiones ni modificar el programa original.
El siguiente paso es abrir un canal WebRTC DataChannel, la misma tecnología que utilizan las videollamadas por internet. A través de este canal envía y recibe órdenes de forma continua.
Todo el tráfico viaja cifrado con dos capas, que es la propia de WebRTC, llamada DTLS, y otra adicional con ChaCha20-Poly1305 que usa una clave derivada de ECDH.
La señalización inicial se dirige a un endpoint de Cloudflare Workers, mientras que el retransmisor utiliza servidores Twilio TURN, de modo que la víctima nunca conecta directamente con la dirección IP real del atacante.
Un malware casi imposible de ver
Cabe señalar que el problema no es que Chrome o Edge tengan un fallo de seguridad que haya que parchear, sino que el problema es que msaRAT usa funciones documentadas y permitidas por el propio navegador.
Cuando el firewall ve una conexión cifrada saliendo desde un proceso de Chrome, asume que es el usuario navegando por una web legítima. No hay comportamiento anómalo que detectar porque, técnicamente, no está haciendo nada que el programa no permita hacer.
El objetivo del hacker tampoco es ralentizar el ordenador ni secuestrar la pantalla, sino que es mantener una presencia silenciosa y persistente para robar información, moverse lateralmente por otros equipos de la red o preparar el despliegue de un ransomware.
Lo más peligroso de todo es que puede estar ahí semanas sin que nadie note nada, porque todo el tráfico malicioso sale disfrazado de navegación web.
Qué puedes hacer para protegerte
La protección no pasa por desinstalar el navegador, sino por vigilar cómo se comporta. Los equipos de seguridad deben prestar atención a procesos de Chrome o Edge.
Sobre todo a los lanzados con los argumentos --headless=new y --remote-debugging-port desde programas que no son el usuario interactuando normalmente, como instaladores, servicios de mantenimiento o scripts automáticos.
Es igual de importante controlar quién tiene acceso al software de gestión remota, segmentar la red para que un ordenador comprometido no pueda saltar fácilmente a otros, y aplicar una política de mínimo privilegio en cada equipo.
Si un ciberdelincuente no puede instalar nada ni moverse libremente, le resulta mucho más difícil desplegar una herramienta como msaRAT.
Por ello, este ataque demuestra que el siguiente reto de la ciberseguridad no es buscar virus exóticos, sino aprender a distinguir cuándo una herramienta legítima está siendo usada por alguien que no debería usarla.
El navegador sigue siendo tuyo, pero los atacantes han aprendido a hacerle trabajar para ellos sin que notes la diferencia. La única forma de pararlos es entender que, a veces, lo más peligroso no es lo que rompe las reglas, sino lo que las sigue al pie de la letra.