Chrome : une menace silencieuse dévoilée par les hackers iranis
Un groupe d’hackers affiliés à l’Iran a découvert une faille alarmante : la possibilité de contrôler les navigateurs Chrome et Edge sans lever le petit doigt. Cette technique, baptisée msaRAT, transforme ces outils pourtant omniprésents en portes d’entrée discrètes pour des attaques sophistiquées.
La ruse du navigateur inoffensif
Le groupe MuddyWater, connu pour son expertise en rançongiciels et en accès distant non autorisé, a exploité la vulnérabilité Chaos pour développer msaRAT. L'astuce ? Utiliser les fonctions intégrées du navigateur, comme Chrome ou Microsoft Edge, pour créer un tunnel de communication invisible. L'objectif ? Se faufiler discrètement dans les réseaux et lancer des attaques sans alerter les antivirus ni les pare-feu.
Ce n’est pas une simple installation de malware classique. msaRAT est un “backdoor” écrit en Rust, un langage de programmation réputé pour sa sécurité et sa difficulté d’analyse. Il opère en arrière-plan, à l’intérieur même du navigateur, imitant parfaitement le trafic web normal. Le résultat ? Un espion capable de rester actif pendant des semaines, de collecter des informations sensibles et de préparer un ransomware majeur, le tout sans déclencher d’alertes.
L'infection part souvent d'un email de phishing ou de l'exploitation d'outils de gestion à distance déjà présents sur l'ordinateur. Une fois à l'intérieur, le système télécharge un package, update_ms.msi, qui semble être une mise à jour légitime. Mais cette mise à jour charge directement une bibliothèque, lib.dll, en mémoire. Cela minimise les traces sur le disque dur et rend la détection extrêmement difficile.
Le malware lance ensuite Chrome ou Edge en mode headless, c'est-à-dire sans afficher d'interface utilisateur. Il active le port de débogage à distance, une fonctionnalité conçue pour les développeurs, permettant de tester des pages web à l'extérieur du navigateur. Grâce au Chrome DevTools Protocol (CDP), msaRAT prend le contrôle total, ouvrant des onglets, injectant du code JavaScript et contournant les restrictions de sécurité, le tout sans installer d'extensions ni modifier le programme original.
Pour renforcer la sécurité, msaRAT établit un canal WebRTC DataChannel, la même technologie utilisée pour les appels vidéo en ligne. Il utilise le protocole DTLS et une clé dérivée de ECDH pour chiffrer les communications. La signalisation initiale est dirigée vers un endpoint Cloudflare Workers, tandis que le retransmetteur utilise les serveurs Twilio TURN, évitant ainsi une connexion directe avec l'adresse IP de l'attaquant.
La clé : ne pas voir le malindre
Il est crucial de comprendre que msaRAT n'est pas un programme autonome qui se connecte à Internet. C’est un backdoor qui exploite des fonctions documentées et permissionnées par le navigateur lui-même. Le firewall est induit en erreur : il considère le trafic chiffré comme une navigation web normale. Le danger réside dans la capacité de ce malware à opérer en silence pendant des semaines, à collecter des données et à préparer des attaques. La véritable menace n’est pas le virus lui-même, mais la façon dont il est utilisé : en se camouflant derrière un outil que nous utilisons quotidiennement.
La protection ne consiste pas à désinstaller le navigateur, mais à surveiller attentivement son comportement. Les équipes de sécurité doivent être particulièrement vigilantes face aux processus de Chrome ou Edge lancés avec les arguments --headless=new et --remote-debugging-port par des programmes non interactifs, comme les installateurs ou les services de maintenance. Un contrôle strict de l'accès aux logiciels de gestion à distance est également essentiel, ainsi que la mise en place d'une politique de privilèges minimaux sur chaque poste de travail. En limitant les possibilités d’installation et de déplacement latéral, on rend l’attaque msaRAT beaucoup moins efficace.
Il faut accepter une réalité troublante : la cybersécurité ne consiste plus seulement à combattre les virus exotiques. Il s'agit désormais d'apprendre à identifier les cas où des outils légitimes sont détournés de leur fonction première. Le navigateur reste entre vos mains, mais les attaquants ont appris à le manipuler sans que vous le réalisiez. La seule façon de les contrer est de comprendre qu'il est parfois plus dangereux de suivre les règles à la lettre.