---
title: "Chaos Fidye Yazılımı, C2 Trafiğini Headless Chrome ve Edge Üzerinden Yönlendirmek İçin msaRAT Kullanıyor"
url: "https://teknotayf.com/haber/chaos-fidye-yazilimi-c2-trafigini-headless-chrome-ve-edge-uzerinden-yonlendirmek-icin-msarat-kullaniyor"
markdown_url: "https://teknotayf.com/haber/chaos-fidye-yazilimi-c2-trafigini-headless-chrome-ve-edge-uzerinden-yonlendirmek-icin-msarat-kullaniyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-07-23 18:14:06"
updated: "2026-07-23 15:14:06"
category: "Siber Güvenlik"
tags: ["Siber Güvenlik","Chaos Fidye Yazılımı","msaRAT","C2 Trafiği"]
source: "The Hacker News"
---

# Chaos Fidye Yazılımı, C2 Trafiğini Headless Chrome ve Edge Üzerinden Yönlendirmek İçin msaRAT Kullanıyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/chaos-fidye-yazilimi-c2-trafigini-headless-chrome-ve-edge-uzerinden-yonlendirmek-icin-msarat-kullaniyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Chaos fidye yazılımı grubu, komuta-kontrol (C2) trafiğini kurbanın kendi tarayıcısı üzerinden yönlendiren msaRAT adlı bir implant kullanıyor. Cisco Talos'un detaylandırdığı bu Rust tabanlı araç, Chrome veya Edge'i headless modda başlatarak C2 mesajlarını WebRTC veri kanalı üzerinden Twilio TURN servisi aracılığıyla iletiyor. Bu yöntem sayesinde savunma ekipleri ağda yalnızca normal tarayıcı trafiği görüyor, saldırganın sunucu adresi hiçbir şekilde ortaya çıkmıyor.

- **Yayın tarihi:** 2026-07-23 18:14
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Güvenlik, Chaos Fidye Yazılımı, msaRAT, C2 Trafiği
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/07/chaos-ransomware-uses-msarat-to-route.html)

![Chaos Fidye Yazılımı, C2 Trafiğini Headless Chrome ve Edge Üzerinden Yönlendirmek İçin msaRAT Kullanıyor](https://teknotayf.com/assets/uploads/2026/07/2e9e3e936255d178226ffcb0b0964547.jpg)

Chaos fidye yazılımı grubu, komuta-kontrol (C2) trafiğini kurbanın kendi tarayıcısı üzerinden yönlendirdi. Cisco Talos, Perşembe günü yayımladığı analizde, şifreleme öncesinde ele geçirilmiş bir Windows makinesinde bulunan Rust tabanlı msaRAT implantını detaylandırdı.

İmplant, kendi başına hiçbir dışa bağlantı açmıyor. Süreci yalnızca 127.0.0.1 ile iletişim kuruyor, başka hiçbir şeyle değil. Chrome veya Edge'i headless modda başlatıyor ve tarayıcıyı, tarayıcının kendi hata ayıklama API'si olan Chrome DevTools Protocol (CDP) üzerinden yönetiyor.

Her C2 mesajı, Twilio'nun TURN servisi aracılığıyla iletilen bir WebRTC veri kanalı üzerinden dışarı çıkıyor. Bu sayede savunmacıların ağda gördüğü şey, Cloudflare ve Twilio'yu arayan bir tarayıcı oluyor. Saldırganın kendi sunucu adresi ise hiçbir şekilde görünmüyor.

## Chrome İletişimi Üstleniyor

msaRAT, önce ortam değişkenleri üzerinden Chrome veya Edge arıyor, bulamazsa kayıt defterine bakıyor. Eşleşen bir tarayıcı bulunamazsa CDP yolu atlanıyor.

Bir tarayıcı bulduğunda, onu `--headless=new` parametresiyle görünür pencere olmadan başlatıyor, `--remote-debugging-port` ile CDP'yi etkinleştiriyor ve ayrı bir `--user-data-dir` dizinine yönlendiriyor.

Chrome 136'dan itibaren Google, varsayılan profil için hata ayıklama anahtarını kabul etmiyor. Bu değişiklik, Mart 2025'te bilgi hırsızlarının çerez hırsızlığı için bu yöntemi kullanmaya başlamasının ardından duyurulmuştu. msaRAT kendi profil dizinini kullandığı için bu değişiklik onu etkilemiyor. Talos'un analizinde, implantın kurbanın profiline dokunduğuna dair herhangi bir bulguya rastlanmadı.

Kötü amaçlı yazılım, `/json/list/` adresinden hata ayıklanabilir bir hedef istiyor ve dönen WebSocket URL'sine bağlanıyor. Bir sekme oluşturuyor, `Page.setBypassCSP` ile İçerik Güvenlik Politikasını (CSP) devre dışı bırakıyor, `Runtime.addBinding` ile beş geri çağırma (callback) kaydediyor ve `Runtime.evaluate` çağrısıyla ikili dosyanın `.rdata` bölümünde düz metin olarak saklanan JavaScript kodunu çalıştırıyor.

Dört geri çağırma adı olan `msaOpen`, `msaClose`, `msaError` ve `msaMessage`, Talos'a kötü amaçlı yazılımın adını verdi. Beşincisi ise `dataAck`.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/chaos-fidye-yazilimi-c2-trafigini-headless-chrome-ve-edge-uzerinden-yonlendirmek-icin-msarat-kullaniyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.