Chaosランサムウェアの新バックドア「msaRAT」、ChromeやEdgeブラウザを使ってC2通信をルーティング

Chaosランサムウェアの新バックドア「msaRAT」、ChromeやEdgeブラウザを使ってC2通信をルーティング

BleepingComputer – July 23, 2026

Chaosランサムウェアグループが新たなバックドア「msaRAT」を使用するようになっているとCisco Talosが報告。このバックドアは、ChromeまたはEdgeブラウザを介してC2通信をルーティングすることで検出されるリスクを大幅に低減しているという。なお、ここでのChaosランサムウェアは、2025年前半に登場したグループを指し、2021年から存在していた同名のランサムウェアファミリーとは無関係。

Cisco Talosによると、Chaosランサムウェアの直近の攻撃は、Eメールまたはボイスフィッシング（ビッシング）から始まり、続いてリモートマネージメントソフトウェアをインストールして永続性の確立を目指すという。環境内への侵入に成功すると、ChaosはWindowsアップデートに見せかけたMSIインストーラーをダウンロードし、これによってシステムメモリに直接msaRAT（lib.dll）がロードされるという。

msaRATは、ChromeまたはMicrosoft Edgeを探してヘッドレスモードでブラウザを起動。続いてブラウザのリモートデバッグインターフェースを有効化し、Chrome DevTools Protocol（CDP）を介してこのインターフェースに接続する。その後、新たなブラウザタブが開かれ、ここにCDPコマンドを使ってJavaScriptが注入される。このJavaScriptが、通信チャネルの構築を担うという。

こうして初期設定が完了すると、ブラウザはCloudflare Workersのエンドポイント（is-01-ast[.]ols-img-12[.]workers[.]dev）に接続し、WebRTCの接続情報を取得して、暗号化された通信チャネルを確立する。通信は、特殊な構成のTwilio TURNプロトコルサーバーを通じてリレーされ、直接的なピアツーピア通信を避けられるようになっているとされる。これにより、攻撃者のインフラを追跡することは非常に困難になっているとCisco Talosは指摘した。

Cloudflare Workersをシグナリング中継として使用することで、攻撃者の通信の宛先IPアドレスがCloudflareのインフラストラクチャに割り当てられ、ファイアウォールや許可リストによる自動検証を通過してしまうため、攻撃者は自身のサーバーが保護された状態を維持できるようになる。

Cisco Talosのブログ記事ではさらに詳しい解説が確認できるほか、同社のGitHub上ではIoCも共有されている。

中国関連の脅威クラスターJadeProx、政府・医療部門への攻撃で新たなローダーTriBackを使用

The Hacker News – Jul 23, 2026

中国に関連するものとみられるサイバーオペレーション「JadeProx」について、Group-IBが報告。このサイバー脅威クラスターは、これまで報告されていなかったWindows向けローダー「TriBack Loader」を使ってアジアおよびラテンアメリカ地域の政府・ヘルスケア・教育関連組織を標的にしているという。

Group-IBは2026年4月半ば、ネット上に露出したAlibaba Cloudサーバーのディレクトリを発見。このサーバーから確認できたbashの履歴、ツールキット、被害者に対するWebシェルのパス、および仕掛けられたフィッシングパッケージによって、JadeProxが東南アジア地域の標的の一般公開されたアプリケーションに対するハンズオンエクスプロイトキャンペーンと、ラテンアメリカ地域の標的に対するWindowsインストーラーやAIの話題を使ったフィッシングキャンペーンを、平行的に実施していることがわかったという。

調査により、JadeProxが同時期にベトナムの公共病院の医療画像システム、マレーシア外務省、および香港の複数教育機関へ侵入していたことが突き止められたほか、平行してホンデュラスの政府組織も標的となっていたことも判明したとされる。加えて、偽のClaudeソフトウェアをめぐるフィッシングキャンペーンも観測されたほか、ベネズエラの地方税システムを装ったフィッシングポータルサイトが、他の偽サイトとともに稼働していることも確認されている。

Group-IBが「これらすべてのキャンペーンの中心」にあったと述べているのが、「TriBack Loader」と呼ばれるローダー。スピアフィッシングにより配布されるこのローダーは、DDLサイドローディングにより起動され、検知を回避するためにWin32コールバックAPIを使用してシェルコードのペイロードを復号・実行する。TriBack Loaderには4つの種類があり、うち2つはオープンソースのC2フレームワーク「AdaptixC2」を展開。第三の亜種はClaudeをテーマとしており、Sophosが2026年5月に初めて報告したバックドア「Beagle」を配布するという。4つ目の亜種が配布するペイロードはわかっていない。

Group-IBは、JadeProxのTTPはMustang PandaやEarth Lusca、UAT-5918、APT27（Emissary Panda）など複数の中国関連グループと重複する部分があると述べたものの、特定のグループへのアトリビューションは行っていない。