Hackers usan tu navegador contra ti: el peligro silencioso
Un grupo iraní, MuddyWater, ha descubierto una vulnerabilidad alarmante: ya no necesitan instalar malware complejo para infiltrarse en sistemas informáticos. Su nueva herramienta, msaRAT, se aprovecha de la funcionalidad inherente de navegadores como Chrome o Edge, convirtiéndolos en puertas traseras sin que el usuario se dé cuenta.
El nuevo ataque: un navegador infectado, una red en peligro
Lo que sorprende es que los atacantes, en lugar de buscar exploits directos, han encontrado la forma más eficaz de pasar desapercibidos: utilizar el navegador que ya utilizamos para navegar, enviar correos o trabajar. Esta estrategia, impulsada por el grupo MuddyWater, permite una presencia persistente y peligrosa dentro de las redes corporativas, robando información y preparando futuros ataques de ransomware sin levantar sospechas.
El funcionamiento de msaRAT es ingenioso. No se trata de un programa independiente que se conecta a internet. Es un backdoor escrito en Rust, una herramienta de desarrollo de software que ofrece un alto nivel de seguridad y dificultad para su análisis. Opera desde dentro del navegador, aprovechando funciones diseñadas para el desarrollo web, simulando tráfico legítimo y eludiendo los sistemas de seguridad tradicionales.
La infección suele comenzar a través de correos de phishing o el abuso de herramientas de gestión remota ya instaladas. Una vez dentro, el malware descarga un paquete llamado update_ms.msi, que se presenta como una actualización legítima, pero que en realidad carga una librería, lib.dll, directamente en la memoria. Esto minimiza la huella en el disco duro y dificulta su detección. Desde ahí, Chrome o Edge se ejecutan en modo headless, es decir, sin mostrar ventanas visibles, activando el puerto de depuración remota, una función de desarrollo que permite la interacción remota.
Utilizando el Chrome DevTools Protocol (CDP), msaRAT toma el control completo del navegador, abriendo pestañas, inyectando código JavaScript y saltando las restricciones de seguridad. Continúa a través de WebRTC DataChannel, una tecnología utilizada para videollamadas, enviando y recibiendo órdenes de forma continua. Todo el tráfico está cifrado con dos capas: DTLS de WebRTC y ChaCha20-Poly1305, con una clave derivada de ECDH. La señalización inicial se dirige a Cloudflare Workers, mientras que el retransmisor utiliza servidores Twilio TURN.
El verdadero peligro radica en la capacidad de msaRAT para permanecer en la red durante semanas, sin que nadie se dé cuenta de su presencia. Todo el tráfico malicioso se disfraza de navegación web legítima, lo que dificulta enormemente su detección. La clave para protegerse no es desinstalar el navegador, sino vigilar cuidadosamente su comportamiento. Prestar especial atención a los procesos de Chrome o Edge lanzados con los argumentos --headless=new y --remote-debugging-port por programas no interactivos, como instaladores o servicios de mantenimiento.
Es fundamental controlar el acceso al software de gestión remota, segmentar la red para evitar la propagación lateral y aplicar una política de mínimo privilegio. La defensa no es eliminar el navegador, sino comprender cómo se utiliza y quién tiene acceso a él. El siguiente desafío en ciberseguridad no es buscar virus exóticos, sino distinguir entre el uso legítimo de las funciones del navegador y el abuso de estas por parte de un atacante.
Este ataque demuestra que la amenaza es mucho más sutil de lo que se pensaba. Los hackers ya no buscan romper las defensas con explosiones de malware; buscan infiltrarse silenciosamente y aprovechar las herramientas que ya utilizamos, convirtiendo nuestro navegador en una extensión invisible de su ataque. La vigilancia constante y el control de acceso son ahora la única defensa viable. El navegador sigue siendo tuyo, pero los atacantes han aprendido a hacerle trabajar para ellos sin que notes la diferencia.