一、安全快讯思科曝光新型隐形远控木马 msaRAT近日思科 Talos 威胁情报团队发布高危安全预警一款名为msaRAT的全新远程访问木马RAT正式曝光攻击手法彻底颠覆传统恶意程序逻辑被安全专家命名为Living off the Browser寄生于浏览器攻击模式。不同于以往木马自建网络通道、极易被安全软件拦截msaRAT 全程借用电脑自带 Chrome、Edge 浏览器完成恶意通信所有窃密、远控流量伪装成正常网页浏览流量依靠域名、进程名查杀的传统防护几乎完全失效企业办公终端、个人电脑均存在极高感染风险。该木马由 Rust 语言开发关联 Chaos 勒索病毒团伙一旦中招黑客可远程操控电脑、窃取账号密码、全盘文件最终投放勒索病毒加密数据造成数据泄露、业务瘫痪重大损失。二、核心黑科技它是怎么 “藏” 在浏览器里搞破坏msaRAT 不依赖系统漏洞而是合法技术组合滥用每一环单独看都是正常功能叠加后形成完美隐蔽攻击链路完整流程如下1. 前置入侵木马先潜入你的电脑攻击者通过钓鱼邮件、聊天群、破解软件、伪装系统更新安装包MSI 文件诱导用户运行恶意程序msaRAT 落地驻留初始化 Tokio 异步运行环境。2. 劫持浏览器开启隐形无头模式木马自动检索系统内 Chrome/Edge调用Chrome 开发者工具协议CDP强制浏览器启动无头后台模式—— 桌面不会弹出浏览器窗口后台悄悄运行同时开启远程调试端口绕过浏览器原生内容安全策略注入恶意 JS 脚本。3. 借云服务搭桥建立加密隐蔽通道操控浏览器访问 Cloudflare Workers 合法云接口获取 WebRTC 通信服务器配置通过 WebRTC DataChannel 搭建点对点加密隧道所有黑客指令、窃取文件、键盘记录全部由浏览器进程代为收发恶意流量混在普通 HTTPS 浏览流量中防火墙、流量监控无法区分正常上网与窃密行为。关键特点木马本身不直接联网msaRAT 本体仅和本地浏览器通信所有对外网络行为全部交给浏览器完成。安全软件只监测木马进程会发现它 “无外网行为”大幅降低告警概率潜伏周期可达数月。三、中招后会带来哪些严重危害全面远程控制黑客可执行任意系统命令、调取摄像头麦克风、实时记录键盘输入全量数据窃取浏览器 Cookie、账号密码、办公文档、财务报表、客户资料批量外传勒索病毒二次攻击作为前置后门后续投放 Chaos 勒索病毒加密整机文件索要赎金长期持久潜伏无明显弹窗、无异常报错普通用户很难自主发现持续泄露隐私与企业机密。四、电脑出现这些异常大概率已感染 msaRAT个人用户自查信号未手动打开 Chrome/Edge任务管理器大量后台浏览器进程持续占用 CPU、网络浏览器无故自启关闭后反复自动后台运行网络测速正常但浏览器无操作时持续大量上传流量下载过破解工具、激活软件、来路不明系统更新包、小众 AI 破解程序。企业运维重点监控指标终端出现携带headless、远程调试参数启动的浏览器进程陌生程序作为父进程拉起 Chrome/Edge办公终端产生无业务场景的 WebRTC 长连接大量终端访问 Cloudflare Workers 相关节点且伴随异常文件外发行为。五、分场景防护指南企业 个人双方案【企业单位防护措施】管控浏览器调试权限批量关闭终端 Chrome/Edge 远程调试接口限制无头浏览器启动参数升级终端检测逻辑不再仅监控恶意程序联网增加进程父子关系审计拦截第三方程序私自拉起浏览器流量深度检测开启防火墙、上网行为管理 WebRTC 协议深度解析告警非业务场景点对点传输终端准入管控禁止员工私自安装破解软件、外部来源 MSI 安装包限制陌生远程管理工具定期日志审计汇总浏览器进程日志、网络外联日志批量筛查异常后台浏览器实例。【个人电脑安全操作】杜绝风险软件不下载任何破解版工具、激活器、非官方 AI 客户端、来路不明系统更新定期查看任务管理器无操作时结束多余 Chrome/Edge 后台进程排查未知启动项保持浏览器与杀毒更新及时升级 Chrome、Edge开启终端安全软件全盘离线扫描谨慎接收外来文件微信群、邮箱陌生附件、安装包一律不双击运行若发现异常后台浏览器进程立即断网全盘查杀后修改所有网站、软件账号密码。六、安全总结msaRAT 标志网络攻击进入 **“合法工具寄生” 新阶段 **攻击者不再依靠漏洞、恶意流量特征规避检测转而利用浏览器这种人人必备高权限软件隐藏攻击。传统 “只盯可疑程序” 的防护思路已经失效无论企业还是个人都需要把浏览器进程行为纳入重点监控范围。防范核心永远是不运行不明程序、严控软件来源、持续监控终端异常行为。转发提醒同事、家人谨防新型隐形木马窃密
