ChaOS sposta il comando fuori dal tracciato che i difensori guardano di solito: il traffico non esce come beacon del malware, ma come attività normale di Chrome o Edge. Se la comunicazione passa dal browser e da relay terzi, il perimetro vede WebRTC e HTTPS legittimi, non un RAT che parla direttamente con la propria infrastruttura.
Cisco Talos attribuisce questo schema a msaRAT, un RAT in Rust usato da Chaos, che controlla una sessione headless di Chrome o Edge tramite Chrome DevTools Protocol e tiene il proprio traffico su localhost. L’uscita verso l’esterno passa poi da browser, WebRTC e relay di terze parti; l’accesso iniziale arriva tramite phishing o vishing, seguito da un MSI loader che installa il payload in memoria.
Per SOC e team endpoint, il punto è che il channel di C2 non coincide più con la presenza di un processo sospetto che apre socket verso un server avversario. Se si monitora solo il traffico di rete, questa classe di C2 resta sotto la soglia degli indicatori tradizionali e si sposta su segnali di comportamento del browser.