Hackers usan tu navegador contra ti: un nuevo ataque silencioso
Un grupo iraní, MuddyWater, ha desarrollado una herramienta, msaRAT, que permite a los hackers infiltrarse en tus sistemas sin necesidad de instalar software malicioso. El truco reside en aprovechar funciones legítimas de navegadores como Chrome o Edge, convirtiéndolos en puertas traseras prácticamente invisibles.
El nuevo arte del hackeo: la infiltración discreta
Lo sorprendente no es que los hackers busquen nuevas formas de atacar, sino que ahora pueden hacerlo sin dejar rastro. msaRAT, un backdoor escrito en Rust, se camufla como una actualización normal del navegador, descargando una librería directamente en la memoria para evitar la detección por parte de los antivirus. Esto permite a los atacantes permanecer en tu red durante semanas, recopilando información y preparando futuros ataques sin que te des cuenta.
La clave del éxito de esta técnica radica en su capacidad para operar dentro del propio navegador, utilizando funciones documentadas y permitidas por el programa. El firewall, engañado por el tráfico web aparentemente normal, no detecta la actividad maliciosa.
El proceso comienza con un correo de phishing o el aprovechamiento de herramientas de gestión remota ya instaladas. Una vez dentro, el malware descarga un paquete llamado update_ms.msi que simula una actualización legítima. A partir de ahí, Chrome o Edge se ejecutan en modo headless, sin mostrar ventanas visibles, activando el puerto de depuración remota y utilizando el Chrome DevTools Protocol (CDP) para tomar el control completo del navegador.
A través de WebRTC DataChannel, msaRAT establece un canal cifrado con dos capas de seguridad: DTLS y ChaCha20-Poly1305, mientras que la señalización inicial se dirige a Cloudflare Workers y el retransmisor utiliza servidores Twilio TURN. Esto dificulta enormemente el rastreo de la actividad del atacante.
El peligro no reside en la vulnerabilidad del navegador, sino en la forma en que msaRAT lo utiliza. El objetivo principal no es ralentizar el equipo ni secuestrar la pantalla, sino mantener una presencia persistente para robar datos, movernos lateralmente por la red o desplegar ransomware. Lo más alarmante es que esta amenaza puede permanecer oculta durante semanas, disfrazando el tráfico malicioso como navegación web legítima.
¿Cómo te proteges?
La defensa no consiste en desinstalar el navegador, sino en vigilar de cerca su comportamiento. Presta especial atención a los procesos de Chrome o Edge que se inician con los argumentos --headless=new y --remote-debugging-port desde programas no interactivos, como instaladores o servicios de mantenimiento. Controla quién tiene acceso al software de gestión remota, segmenta la red y aplica una política de mínimo privilegio en cada equipo. Un ciberdelincuente sin acceso completo es un blanco mucho más fácil.
Este ataque subraya un cambio fundamental en la ciberseguridad: ya no basta con buscar virus exóticos. El siguiente reto es aprender a distinguir cuándo una herramienta legítima está siendo utilizada por alguien que no debería tenerla. El navegador sigue siendo tuyo, pero los atacantes han aprendido a hacerle trabajar para ellos sin que notes la diferencia.
La única forma de detenerlos es entender que, a veces, lo más peligroso no es lo que rompe las reglas, sino lo que las sigue al pie de la letra.