思科披露msaRAT新型木马伪装浏览器行为逃避检测

网络安全领域近日曝光一项新型威胁。思科Talos团队披露了一款名为msaRAT的远程访问木马，表面看似寻常，但其技术路线却颇为独特——采用Rust语言开发，并具备通过浏览器远程执行代码的能力。

先回顾传统做法。攻击者为了隐匿C2通信，通常借助合法云服务搭建通信通道，将恶意流量混入正常流量中。但msaRAT此次另辟蹊径——直接利用Cloudflare Workers端点模块，结合Chrome DevTools Protocol（CDP）浏览器调试API来控制C2通信。关键差异在于：原本需由木马自身完成的HTTP通信，如今全部交由浏览器处理。如此一来，安全厂商的检测难度大幅提升，因为流量看起来完全是浏览器在正常运作。

那么具体如何实现？msaRAT启动后，首先运行Tokio运行时环境，随后扫描受害者设备上是否存在Chrome或Edge浏览器。一旦发现目标，它通过CDP指令让浏览器以无头模式启动，经由WebSocket建立CDP通信会话，绕过内容安全策略，直接调用CDP功能执行JavaScript代码。接着，msaRAT向Cloudflare Workers发起请求，获取建立WebRTC连接所需的服务器配置，进而通过WebRTC DataChannel与攻击者架设的C2服务器交换指令与数据。

Talos团队将这类攻击方式命名为"Living off the Browser"，即"寄生于浏览器"。这与传统"Living off the Land"（寄生于系统合法工具）的思路一脉相承：不依赖额外安装的恶意网络组件，而是直接利用用户设备上已有的浏览器功能，将恶意通信伪装成正常的浏览器行为。这种寄生模式，使得安全检测的难度再度升级。