Come eliminare il malware msaRAT

Che tipo di malware è msaRAT?

msaRAT è un Remote Access Trojan (RAT) scritto nel linguaggio di programmazione Rust, collegato al gruppo Chaos ransomware. Secondo una ricerca pubblicata da Talos Intelligence, utilizza un'insolita tecnica «living off the browser» per mantenere nascoste le sue comunicazioni con il server dell'aggressore.

Anziché stabilire connessioni di rete autonomamente, msaRAT prende il controllo di un browser Chrome o Edge già installato sul computer della vittima e instrada attraverso di esso tutto il traffico dell'aggressore. In questo modo l'attività del malware appare come un normale utilizzo del browser, il che è notevolmente più difficile da rilevare per gli strumenti di sicurezza.

Il RAT viene distribuito come un programma di installazione MSI che si spaccia per un normale aggiornamento di Windows. Di solito le vittime non notano nulla di insolito al momento dell'infezione.

Panoramica di msaRAT

Una volta eseguito l'installer, msaRAT carica il proprio payload direttamente in memoria e cerca sul sistema un browser Chrome o Edge utilizzando controlli sulle variabili di ambiente e query sul Registro di Windows. Una volta individuato, il browser viene avviato in modo silenzioso in modalità headless con il debug remoto abilitato.

Con il browser sotto il proprio controllo, msaRAT può catturare screenshot dello schermo della vittima, eseguire comandi sul computer e inviare file all'aggressore. La connessione è persistente, il che significa che l'aggressore mantiene l'accesso al computer infetto e può impartire nuove istruzioni in qualsiasi momento.

La tecnica del «living off the browser»

msaRAT comunica con il server dell'aggressore inviando istruzioni al browser dirottato utilizzando il Chrome DevTools Protocol (CDP), un'interfaccia di debug integrata presente in Chrome ed Edge. Il browser inietta quindi JavaScript nella propria sessione e apre un canale dati crittografato verso l'aggressore.

Il canale dati è basato su WebRTC - una tecnologia che i browser utilizzano normalmente per le videochiamate e la condivisione di file. msaRAT forza tutto il traffico attraverso un server relay Twilio, in modo che il vero indirizzo IP dell'aggressore non appaia mai direttamente nei log di rete.

Il traffico passa anche attraverso l'infrastruttura di Cloudflare, mascherandone ulteriormente l'origine. Le comunicazioni stesse sono protette da due livelli di crittografia: WebRTC ne fornisce uno automaticamente e msaRAT ne aggiunge un secondo utilizzando ChaCha20-Poly1305 con chiavi negoziate tramite Elliptic-curve Diffie-Hellman.

Come msaRAT evita il rilevamento

Poiché tutte le connessioni in uscita sembrano provenire dal processo del browser e non dal malware stesso, gli strumenti di sicurezza che monitorano i programmi sconosciuti che effettuano connessioni esterne non osserveranno msaRAT direttamente sulla rete. La vera infrastruttura dell'aggressore è nascosta dietro la rete di distribuzione dei contenuti di Cloudflare e i server relay di Twilio.

msaRAT disabilita inoltre la Content Security Policy nella sessione del browser che controlla tramite un comando CDP e falsifica le intestazioni delle richieste HTTP per far sembrare che il traffico provenga da un servizio Microsoft. Il traffico HTTP viene inviato sulla porta 443, la porta normalmente associata a HTTPS, il che può aiutarlo a superare i firewall che controllano i numeri di porta anziché i protocolli effettivi.

Conclusione

msaRAT è un RAT tecnicamente sofisticato utilizzato dal gruppo ransomware Chaos per mantenere un accesso remoto occulto ai computer infetti. La sua tecnica di C2 basata sul browser lo rende notevolmente più difficile da rilevare rispetto ai RAT convenzionali, poiché tutto il traffico sembra provenire da un browser legittimo anziché dal malware stesso.

Un'infezione espone le vittime al rischio di furto di dati, sorveglianza remota e distribuzione di ulteriori payload, incluso ransomware. Il malware dovrebbe essere rimosso senza indugio da qualsiasi sistema colpito. Altri esempi di RAT sono Dolphin X, MarkiRAT e Starland.

Come si è infiltrato msaRAT nel mio computer?

Secondo Talos Intelligence, msaRAT viene distribuito come file installer MSI denominato update_ms.msi. Viene scaricato tramite un comando curl su HTTP sulla porta 443 e camuffato da normale aggiornamento di Windows, il che riduce i sospetti della vittima al momento dell'installazione. Una volta eseguito l'installer, il payload del RAT viene caricato direttamente in memoria.

Il gruppo Chaos, attivo da febbraio 2025, prende di mira grandi organizzazioni e minaccia sia di crittografare i loro dati sia di divulgarli pubblicamente a meno che non venga pagato un riscatto. Il gruppo è stato osservato ottenere l'accesso iniziale tramite email di spam e chiamate di phishing vocale, con strumenti di gestione remota utilizzati per mantenere la persistenza e servizi legittimi di condivisione file utilizzati per esfiltrare i dati rubati.

Più in generale, i RAT e minacce simili raggiungono le vittime tramite email di phishing con allegati dannosi, false pagine di download di software, software piratato e «crack» di software, pubblicità dannose e dispositivi di archiviazione rimovibili infetti. Scaricare software solo da fonti ufficiali riduce significativamente il rischio di infezione.

Come evitare l'installazione di malware?

Prestare attenzione a qualsiasi email inaspettata, in particolare a quelle contenenti un allegato o un link. Anche i messaggi che sembrano provenire da un mittente affidabile possono essere falsificati. Scaricare i programmi solo dai siti web ufficiali degli sviluppatori o da app store affidabili ed evitare software piratato, «crack» e generatori di chiavi.

Mantenere aggiornati il sistema operativo e tutte le applicazioni installate per chiudere le vulnerabilità di sicurezza note. Utilizzare software di sicurezza affidabile ed eseguire scansioni regolari. Se ritenete che il vostro computer sia già infetto, consigliamo di eseguire una scansione con Combo Cleaner Antivirus per Windows per eliminare automaticamente il malware infiltrato.

Rimozione automatica istantanea dei malware:

La rimozione manuale delle minacce potrebbe essere un processo lungo e complicato che richiede competenze informatiche avanzate. Combo Cleaner è uno strumento professionale per la rimozione automatica del malware consigliato per eliminare il malware. Scaricalo cliccando il pulsante qui sotto:

Scaricando qualsiasi software elencato in questo sito, accetti le nostre Condizioni di Privacy e le Condizioni di utilizzo. Per utilizzare tutte le funzionalità, è necessario acquistare una licenza per Combo Cleaner. Hai a disposizione 7 giorni di prova gratuita. Combo Cleaner è di proprietà ed è gestito da RCS LT, società madre di PCRisk.

Menu rapido:

• Cos'è msaRAT?
• PASSO 1. Rimozione manuale del malware msaRAT.
• PASSO 2. Verificare se il computer è pulito.

Come rimuovere il malware manualmente?

La rimozione manuale del malware è un compito complicato - di solito è meglio lasciare che i programmi antivirus o anti-malware lo facciano automaticamente. Per rimuovere questo malware consigliamo di utilizzare Combo Cleaner Antivirus per Windows.

Se desiderate rimuovere il malware manualmente, il primo passo è identificare il nome del malware che state cercando di rimuovere. Ecco un esempio di un programma sospetto in esecuzione sul computer di un utente:

Se avete controllato l'elenco dei programmi in esecuzione sul vostro computer, ad esempio utilizzando il task manager, e avete identificato un programma che sembra sospetto, dovreste procedere con questi passaggi:

Scaricate un programma chiamato Autoruns. Questo programma mostra le applicazioni ad avvio automatico, le posizioni del Registro e del file system:

Riavviate il computer in Modalità provvisoria:

Utenti Windows XP e Windows 7: Avviate il computer in Modalità provvisoria. Fate clic su Start, fate clic su Arresta il sistema, fate clic su Riavvia, fate clic su OK. Durante il processo di avvio del computer, premete più volte il tasto F8 sulla tastiera fino a visualizzare il menu Opzioni avanzate di Windows, quindi selezionate Modalità provvisoria con rete dall'elenco.

Video che mostra come avviare Windows 7 in «Modalità provvisoria con rete»:

Utenti Windows 8: Avviare Windows 8 in Modalità provvisoria con rete - Andate alla schermata Start di Windows 8, digitate Avanzate, nei risultati della ricerca selezionate Impostazioni. Fate clic su Opzioni di avvio avanzate, nella finestra «Impostazioni generali del PC» aperta, selezionate Avvio avanzato.

Fate clic sul pulsante «Riavvia ora». Il computer si riavvierà ora nel «menu Opzioni di avvio avanzate». Fate clic sul pulsante «Risoluzione dei problemi», quindi fate clic sul pulsante «Opzioni avanzate». Nella schermata delle opzioni avanzate, fate clic su «Impostazioni di avvio».

Fate clic sul pulsante «Riavvia». Il PC si riavvierà nella schermata Impostazioni di avvio. Premete F5 per avviare in Modalità provvisoria con rete.

Video che mostra come avviare Windows 8 in «Modalità provvisoria con rete»:

Utenti Windows 10: Fate clic sul logo di Windows e selezionate l'icona di accensione. Nel menu aperto fate clic su «Riavvia» tenendo premuto il tasto «Shift» sulla tastiera. Nella finestra «scegli un'opzione» fate clic su «Risoluzione dei problemi», quindi selezionate «Opzioni avanzate».

Nel menu delle opzioni avanzate selezionate «Impostazioni di avvio» e fate clic sul pulsante «Riavvia». Nella finestra successiva dovreste fare clic sul pulsante «F5» sulla tastiera. Questo riavvierà il sistema operativo in modalità provvisoria con rete.

Video che mostra come avviare Windows 10 in «Modalità provvisoria con rete»:

Estraete l'archivio scaricato ed eseguite il file Autoruns.exe.

Nell'applicazione Autoruns, fate clic su «Options» in alto e deselezionate le opzioni «Hide Empty Locations» e «Hide Windows Entries». Dopo questa procedura, fate clic sull'icona «Refresh».

Controllate l'elenco fornito dall'applicazione Autoruns e individuate il file malware che desiderate eliminare.

Dovreste annotare il suo percorso completo e il nome. Notate che alcuni malware nascondono i nomi dei processi sotto nomi di processi legittimi di Windows. In questa fase, è molto importante evitare di rimuovere file di sistema. Dopo aver individuato il programma sospetto che desiderate rimuovere, fate clic con il tasto destro del mouse sul suo nome e scegliete «Delete».

Dopo aver rimosso il malware tramite l'applicazione Autoruns (questo garantisce che il malware non venga eseguito automaticamente al successivo avvio del sistema), dovreste cercare il nome del malware sul vostro computer. Assicuratevi di abilitare i file e le cartelle nascosti prima di procedere. Se trovate il nome del file del malware, assicuratevi di rimuoverlo.

Riavviate il computer in modalità normale. Seguendo questi passaggi dovreste rimuovere qualsiasi malware dal vostro computer. Notate che la rimozione manuale delle minacce richiede competenze informatiche avanzate. Se non possedete queste competenze, lasciate la rimozione del malware ai programmi antivirus e anti-malware.

Questi passaggi potrebbero non funzionare con infezioni malware avanzate. Come sempre è meglio prevenire l'infezione che tentare di rimuovere il malware in seguito. Per mantenere il computer al sicuro, installate gli ultimi aggiornamenti del sistema operativo e utilizzate un software antivirus. Per essere sicuri che il vostro computer sia privo di infezioni malware, consigliamo di scansionarlo con Combo Cleaner Antivirus per Windows.

Domande frequenti (FAQ)

Il mio computer è infetto dal malware msaRAT, devo formattare il mio dispositivo di archiviazione per liberarmene?

Formattare il dispositivo di archiviazione rimuoverà msaRAT, ma eliminerà anche ogni file presente sul disco. Eseguire un programma di sicurezza affidabile come Combo Cleaner è il primo passo migliore, poiché può eliminare l'infezione senza cancellare i dati.

Quali sono i maggiori problemi che il malware msaRAT può causare?

msaRAT concede agli aggressori il controllo remoto del computer infetto, consentendo loro di catturare screenshot, eseguire comandi e rubare file. Poiché opera all'interno dell'ecosistema ransomware Chaos, un'infezione può anche fungere da precursore per la distribuzione di ransomware, mettendo a rischio tutti i dati archiviati.

Qual è lo scopo del malware msaRAT?

msaRAT è progettato per fornire al gruppo ransomware Chaos un accesso remoto occulto ai computer infetti. Gli operatori possono eseguire comandi, catturare screenshot ed esfiltrare file, e la connessione persistente può essere utilizzata per distribuire ulteriori payload in qualsiasi momento.

Come si è infiltrato il malware msaRAT nel mio computer?

msaRAT è stato osservato diffondersi come un falso aggiornamento di Windows - un file installer MSI distribuito tramite un comando curl. Il gruppo Chaos utilizza inoltre email di spam e phishing vocale per ottenere l'accesso iniziale. Più in generale, minacce di questo tipo raggiungono le vittime tramite email di phishing, falsi siti di download e software piratato.

Combo Cleaner mi proteggerà dal malware?

Sì. Combo Cleaner può rilevare e rimuovere la maggior parte dei malware conosciuti, inclusi i Remote Access Trojan. Poiché le minacce sofisticate possono insediarsi in profondità in un sistema, eseguire una scansione completa è il modo migliore per garantire che l'infezione sia completamente eliminata.