Webrtc

O grupo de ransomware Chaos implementou uma nova técnica de ataque utilizando um implante chamado msaRAT, escrito em Rust, que opera através do navegador da própria vítima, como Chrome ou Edge. O malware não estabelece conexões de saída diretas, mas se comunica localmente com o endereço 127.0.0.1, utilizando o protocolo de depuração do navegador para enviar comandos. Essa abordagem permite que as mensagens de comando e controle (C2) pareçam originar-se de um tráfego legítimo, dificultando a detecção por parte de ferramentas de segurança. O msaRAT é instalado através de um comando curl que baixa um arquivo MSI disfarçado de atualização do Windows, que carrega um DLL malicioso diretamente na memória. A análise da Cisco Talos destaca que o malware não depende de vulnerabilidades conhecidas dos navegadores, mas sim do comportamento do processo, o que torna a detecção mais desafiadora. A técnica de comunicação via WebRTC, utilizando serviços legítimos como Twilio, também contribui para a furtividade do ataque. A detecção do msaRAT é limitada, com poucos indicadores disponíveis, o que exige atenção redobrada dos profissionais de segurança. Este incidente ressalta a importância de monitorar atividades suspeitas em navegadores e a necessidade de uma abordagem proativa na segurança de redes.

Pesquisadores de cibersegurança descobriram um novo skimmer de pagamento que utiliza canais de dados WebRTC para receber cargas maliciosas e exfiltrar dados, contornando controles de segurança tradicionais. Em um ataque recente, um site de e-commerce de um fabricante de automóveis foi comprometido devido à vulnerabilidade PolyShell, que afeta o Magento Open Source e o Adobe Commerce. Essa falha permite que atacantes não autenticados carreguem executáveis arbitrários via API REST, resultando em execução de código. Desde 19 de março de 2026, a PolyShell tem sido amplamente explorada, com mais de 50 endereços IP envolvidos na atividade de varredura, afetando 56,7% das lojas vulneráveis. O skimmer estabelece uma conexão peer-to-peer WebRTC com um endereço IP específico e injeta código JavaScript na página da web para roubar informações de pagamento. A utilização de WebRTC representa uma evolução significativa nos ataques de skimmer, pois contorna as diretrizes de Política de Segurança de Conteúdo (CSP), dificultando a detecção do tráfego malicioso. A Adobe lançou uma correção para a vulnerabilidade, mas ainda não está disponível nas versões de produção. Os proprietários de sites são aconselhados a bloquear o acesso a diretórios específicos e a escanear suas lojas em busca de shells web e outros malwares.