핵심 요약
- msaRAT은 Rust로 작성된 백도어형 원격 접근 트로잔(RAT)으로, Chrome DevTools Protocol(CDP)을 통해 Chrome 및 Edge 브라우저 프로세스 내부에서 명령제어(C2) 트래픽을 처리하는 것으로 보고됨
- 해당 멀웨어는 정상 브라우저 트래픽과 동일한 프로세스 컨텍스트에서 통신이 발생하므로, 운영체제 수준 EDR 및 전통적인 네트워크 모니터링 기반 탐지 체계의 우회 가능성이 제기됨
- Bleeping Computer는 2026년 7월 23일자 기사를 통해 이 위협을 공개하며 Chaos 랜섬웨어 그룹과의 연관성을 함께 소개함
브라우저를 통신 채널로 활용하는 Living Off the Land형 백도어는 기존 시그니처 중심 탐지의 사각지대를 확대하므로, 엔드포인트 행위 기반 가시성과 프로세스 단위 네트워크 로깅의 병행 도입이 필요해 보입니다.
Bleeping Computer는 2026년 7월 23일 Bill Toulas 기자의 기사를 통해, Rust 언어로 개발된 신규 백도어 msaRAT이 Chrome 및 Edge 브라우저의 정상 프로세스 내부에서 명령제어 통신을 수행한다는 사실을 공개했습니다. 이 멀웨어는 별도의 사용자 정의 통신 바이너리를 실행하는 대신 브라우저 자체를 C2 프록시처럼 활용하기 때문에, 침해 지표(IOC) 탐지에 의존하는 기존 보안 체계에서는 식별이 어려울 수 있다는 평가가 나옵니다.
개요 msaRAT 백도어의 등장 배경
2026년 7월 Bleeping Computer 최초 공개 보고
msaRAT은 Bleeping Computer의 2026년 7월 23일자 보도에서 처음으로 외부에 공개된 위협 행위자 도구입니다. 기사 작성자인 Bill Toulas는 이 멀웨어가 Chaos 랜섬웨어 갱의 침해 체인 안에서 사용되고 있는 점을 함께 소개했습니다. 과거 Chaos 계열 활동은 주로 Chaos 랜섬웨어 빌더로 알려진 소스 코드 공개 도구와 연계되어 왔으며, 이번에 등장한 msaRAT은 Rust 기반의 모듈 구조를 갖춘 점에서 이전 변종과 차별화됩니다.
특히 msaRAT은 브라우저 프로세스를 명령제어 채널로 적극 활용하는 이른바 Living Off the Land 기법을 채택한 것이 핵심 특징입니다. 이를 통해 공격자는 새로운 통신 바이너리를 설치하지 않고도 정상 프로세스를 통해 외부와 데이터를 교환할 수 있습니다.
msaRAT의 기술적 동작 방식
Chrome 및 Edge 브라우저 프로세스를 통한 C2 라우팅
msaRAT은 Chrome DevTools Protocol(CDP)을 통해 동작합니다. CDP는 본래 웹 개발자가 디버깅과 자동화 목적으로 브라우저 내부 상태에 접근하도록 설계된 표준 인터페이스이지만, 공격자가 이를 악용하면 브라우저 프로세스 내부에서 임의의 명령을 실행하고 결과를 송신할 수 있는 통로가 될 수 있습니다.
해당 멀웨어의 동작 흐름은 다음 표와 같이 요약할 수 있습니다.
| 단계 | 행위 | 악용 자원 |
|---|---|---|
| 1 | 백도어 본체 실행 및 CDP 세션 수립 | Chrome 또는 Edge의 원격 디버깅 포트 |
| 2 | 외부 명령 수신 및 JavaScript 실행 위임 | CDP Runtime 도메인 |
| 3 | 실행 결과 및 추가 페이로드 송신 | 브라우저 정상 HTTPS 트래픽 |
| 4 | Chaos 랜섬웨어 등 후속 페이로드 배포 | 기존 C2 인프라 |
위 과정에서 C2 트래픽은 브라우저가 사용하는 정상 TLS 세션 내부로 캡슐화되므로, 네트워크 센서 입장에서는 사용자浏览 경험에서 발생하는 일반 웹 요청과 구분되지 않을 가능성이 있습니다. 다만, 보안 실무자 사이에서는 명령 패턴과 빈도, 그리고 비정상적인 페이지 탐색 흐름 분석을 통해 이상 행위를 식별할 수 있다는 의견도 제시되고 있습니다.
보안 위협으로서의 함의
EDR 및 네트워크 모니터링 솔루션의 한계
msaRAT과 유사한 브라우저 기반 C2 기법은 시그니처 기반 EDR과 전통적인 네트워크 IDS/IPS의 탐지 범위를 벗어나는 사각지대를 만들 수 있습니다. 이는 다음과 같은 요인 때문으로 분석됩니다.
- 악성 행위가 정상 서명된 브라우저 실행 파일 내부에서 발생하므로, 프로세스 단위 화이트리스트에 의존하는 탐지 정책이 제한될 수 있음
- C2 트래픽이 TLS 암호화된 정상 웹 트래픽과 동일한 흐름으로 송수신되어, 네트워크 페이로드 기반 탐지에서 false negative가 증가할 가능성
- CDP 사용 자체는 디버깅 목적으로 합법적이기 때문에, 프로토콜 사용 사실만으로는 악성 행위를 단정하기 어려움
다만, 이러한 평가가 현실화될지 여부는 각 기업 환경의 보안 성숙도와 로그 보존 정책에 따라 달라질 수 있습니다.
기업 환경에서의 대응 권고
엔드포인트 가시성 및 로그 수집 강화
msaRAT과 같은 브라우저 기반 백도어에 효과적으로 대응하기 위해서는, 단일 보안 계층에 의존하지 않는 다층 전략이 필요합니다. 실무적으로 검토 가능한 항목은 다음과 같습니다.
- Chrome 및 Edge 브라우저의 원격 디버깅 포트 활성화 여부를 상시 점검하고, 비인가 사용 시 알림을 발생시키는 정책 적용
- EDR 솔루션에 브라우저 프로세스로부터 발생하는 자식 프로세스, 원격 디버깅 연결, 비정상적인 페이지 탐색 이벤트에 대한 행위 기반 룰 추가
- 네트워크 출구 지점에서 TLS 복호화가 가능한 환경에서는 SNI, 인증서 핀, 요청 빈도 등을 결합한 이상 탐지 룰 운용
- EDR 및 SIEM 로그 보존 기간을 90일 이상으로 확대하여 사후 포렌식 분석 가능성 확보
특히, 브라우저 프로세스에서 발생하는 DevTools 관련 행위 로그를 SIEM으로 통합하는 것은 향후 유사 위협 탐지에 유용한 침해 지표로 활용될 수 있습니다.
전망 및 후속 이슈
msaRAT의 공개는 브라우저를 무기화하는 공격 트렌드의 초기 신호로 해석될 여지가 있습니다. Chaos 랜섬웨어 갱 외에도 다른 위협 행위자들이 유사한 CDP 악용 기법을 도입할 가능성은 충분해 보이며, 이는 Check Point SmartConsole 취약점과 같이 관리 콘솔 계정의 권한을 탈취하는 다른 사례와 결합될 경우 기업의 전반적인 침해 위험을 가중시킬 수 있습니다(Check Point Patches Exploited SmartConsole Flaw Allowing Full Admin Access).
향후 보안 업계에서는 CDP 및 유사한 브라우저 자동화 인터페이스를 통한 침해 사례를 정기적으로 추적하고, 관련 행위 패턴을 공유하는 체계가 강화될 필요가 있습니다.
핵심 정리
- msaRAT은 Rust 기반의 백도어형 원격 접근 트로잔으로, Chrome DevTools Protocol을 통해 브라우저 프로세스 내부에서 C2 통신을 수행하는 점이 특징적임
- 해당 멀웨어는 Chaos 랜섬웨어 갱의 공격 도구로 사용되고 있으며, 정상 브라우저 트래픽 위장이라는 점에서 탐지 우회 가능성이 제기됨
- 브라우저 원격 디버깅 포트 점검, EDR 행위 기반 룰 강화, TLS 가시성 확보 등 다층 대응 전략이 필요한 것으로 분석됨
참고 자료: