C2 채널은 헤드리스 브라우저다

Cisco Talos는 Rust 기반 RAT msaRAT를 분석했으며, 이 악성코드는 직접 C2 연결을 만들지 않고 헤드리스 Chrome/Edge와 Chrome DevTools Protocol을 통해 명령을 주고받는다.

이 방식은 악성 트래픽을 정상 브라우저 프로세스 안에 숨겨 프로세스 수준 네트워크 모니터링을 우회하고 탐지와 추적을 더 어렵게 만든다.

같은 기사에서는 Chaos 랜섬웨어 연관 활동도 다뤘는데, Sophos는 Teams 보이스피싱형 침해에서 헬프데스크 사칭과 원격 지원 도구를 확인했다.

해당 캠페인은 PowerShell, AppData\Roaming, HKCU Run 키 등으로 지속성을 확보했고, CA 인증서가 포함된 분리형 인프라를 활용했다.