Chrome als tarnkappe: hacker nutzen browser für unbemerktes eindringen
Einmal mehr hat die Sicherheitsbranche von einer beunruhigenden Entwicklung erfahren: Hacker umgehen herkömmliche Schutzmechanismen nicht mehr mit komplexen Programmen, sondern nutzen alltägliche Werkzeuge, die jeder kennt – unseren Webbrowser. Die Erkenntnis ist erschreckend einfach: Chrome und Edge sind für Angreifer geworden zu einer perfekten Tarnkappe.
Muddywater und die msarat-bedrohung
Das iranische Hacktivisten-Kollektiv MuddyWater hat eine neue Methode entwickelt, die die Sicherheitslage weiter verschärft. Sie nutzen die Schwachstelle Chaos, um die Software msaRAT zu entwickeln – ein Trojaner, der Chrome und Microsoft Edge in heimliche Kommunikationskanäle verwandelt. So kann der Angreifer den browser quasi zu seinem persönlichen Werkzeug machen, ohne Verdacht.
Das Besondere: msaRAT nutzt legitime Funktionen des Browsers, um unbemerkt zu arbeiten. Alles erscheint wie normaler Websurf – Firewall und Antivirus bleiben komplett im Dunkeln. Ein Angreifer kann sich so Wochenlang unbemerkt in einem Netzwerk aufhalten, Daten verschaffen, sich ausbreiten und einen Ransomware-Angriff vorbereiten – und das alles, als würde der Nutzer lediglich eine Webseite besuchen.
Die Schlüsselerkenntnis: msaRAT ist kein eigenständiges Programm, das sich mit dem Internet verbindet. Es handelt sich um einen Backdoor-Code in Rust, der innerhalb des Browsers arbeitet. Dieser Ansatz ermöglicht eine schnelle Entwicklung und eine schwerwiegende Analyse erschwert die Entdeckung.
Wie die infektion abläuft
Die Infektion beginnt meist mit einem Phishing-E-Mail oder dem Missbrauch bereits installierter Remote-Management-Tools. Sobald der Angreifer Zugang hat, lädt er ein Paket namens update_ms.msi herunter – es sieht aus wie ein legitimer Update. Dieses Paket lädt eine Bibliothek, lib.dll, direkt in den Speicher. Dadurch hinterlässt das Malware kaum Spuren auf der Festplatte und ist schwieriger zu entdecken.
Der Trick: Der Malware startet Chrome oder Edge im Headless-Modus, also ohne sichtbare Fenster. Es aktiviert den Remote Debugging Port, eine Funktion, die für Entwickler gedacht ist, um Webseiten von außerhalb des Browsers zu testen. Mithilfe des Chrome DevTools Protocol (CDP) übernimmt msaRAT die vollständige Kontrolle. Er öffnet Tabs, injiziert JavaScript-Code und umgeht Sicherheitsbeschränkungen – alles ohne Installation von Erweiterungen oder Änderungen am Programm selbst.
Die weitere Vorgehensweise: Der Angreifer öffnet einen WebRTC DataChannel, basierend auf der gleichen Technologie wie Videokonferenzen. Über diesen Kanal werden Anweisungen kontinuierlich gesendet und empfangen. Der gesamte Datenverkehr wird verschlüsselt – zunächst mit DTLS, einer WebRTC-spezifischen Verschlüsselung, und zusätzlich mit ChaCha20-Poly1305, einer weiteren, zusätzlichen Verschlüsselungsschicht.
Die Signalisation erfolgt über Cloudflare Workers, der Re-Transmitter nutzt Twilio TURN-Server. Dadurch bleibt die Verbindung der Opfers nie direkt mit der IP-Adresse des Angreifers verbunden. Ein ausgeklügeltes System, das die Spur der Ermittlungen verwischt.
Was sie tun können – und was nicht
Die Lösung liegt nicht in der Desinstallation des Browsers. Vielmehr müssen Sicherheitsbeauftragte auf verdächtiges Verhalten von Chrome oder Edge achten. Insbesondere auf Prozesse, die mit den Argumenten --headless=new und --remote-debugging-port gestartet werden, wenn diese nicht von einem normalen Benutzer initiiert werden. Auch die Kontrolle über den Zugriff auf Remote-Management-Software ist entscheidend. Segmentierung des Netzwerks und die Anwendung von Least-Privilege-Prinzipien in jeder Umgebung können das Risiko erheblich reduzieren. Nur so kann ein kompromittierter Rechner nicht einfach zu anderen Systemen vordringen.
Die bittere Erkenntnis: Es geht nicht darum, einen exotischen Virus zu finden, sondern darum, zu erkennen, wann ein legitimes Werkzeug von einem Unbefugten für böswillige Zwecke missbraucht wird. Das Browserfenster gehört Ihnen, aber die Angreifer haben gelernt, ihn für ihre Zwecke zu instrumentieren – ohne dass Sie es bemerken.