CrashFix malware: browser-crash lokkemidler og RAT

Introduktion

ClickFix har historisk baseret sig på social engineering for at få brugere til at udføre angriberleverede kommandoer. Den nye CrashFix-variant øger succesraten ved først at forringe brugeroplevelsen (browser DoS/crash loop) og derefter præsentere en “fix”-workflow, der får ofre til selv at køre kommandoer—hvilket mindsker afhængigheden af exploits og øger stealth. For IT-teams er det en praktisk påmindelse om, at brugerinitieret eksekvering + LOLBins + script-payloads kan omgå traditionelle, rent signaturbaserede forsvar.

Hvad er nyt i CrashFix (nøgleadfærd)

1) Ondsindet extension med forsinket sabotage

• Initial adgang starter ofte med, at en bruger søger efter en ad blocker og klikker på en ondsindet annonce.
• Brugeren bliver omdirigeret til Chrome Web Store for at installere en extension, der udgiver sig for at være uBlock Origin Lite, hvilket skaber falsk legitimitet.
• Extensionen bruger forsinket eksekvering, så browserproblemer opstår senere, hvilket gør det sværere for brugere at forbinde symptomerne med installationen af extensionen.

2) Browser crash loop + falsk “CrashFix”-prompt

• Payloaden udløser en browser denial-of-service via en uendelig løkke og viser derefter en falsk sikkerhedsadvarsel/pop-up.
• Pop-up’en forsøger at overbevise brugeren om at udføre kommandoer (for eksempel via Windows Kør), hvilket gør brugeren til selve eksekveringsmekanismen.

3) Misbrug af LOLBin: finger.exe omdøbes og bruges som loader

• En markant ændring er misbrug af det legitime Windows-værktøj finger.exe, som kopieres til en temp-lokation og omdøbes (f.eks. ct.exe) for at sløre detektion.
• Den omdøbte binær forbinder udgående for at hente en obfuskeret, trinvist PowerShell-kæde, der dropper yderligere payloads i brugerprofil-lokationer.

4) Mållogik: domain-joined systemer får backdoor

• PowerShell-scriptet udfører miljøtjek (f.eks. om enheden er domain-joined) og leder efter analyseværktøjer.
• Når der registreres enterprise-betingelser med højere værdi, downloader det en portabel WinPython-distribution og en Python RAT (Microsoft omtaler den som ModeloRAT).

5) Persistens og efterfølgende payloads

• Persistens etableres via HKCU\Software\Microsoft\Windows\CurrentVersion\Run ved brug af pythonw.exe for at minimere synlige artefakter.
• Yderligere payload-levering omfatter downloads fra cloud-hosting (f.eks. Dropbox) og, i senere kæder, persistens via scheduled task (f.eks. en opgave med navnet “SoftwareProtection”) for gentagne gange at køre Python-payloads.

Effekt for IT-administratorer og slutbrugere

• Slutbrugere kan rapportere pludselige browser-crash, gentagne “sikkerheds”-pop-ups eller instruktioner om at køre kommandoer for at løse problemet.
• Administratorer bør forvente en kombination af adfærd på tværs af web, endpoint og identitet: mistænkelige extension-installationer, LOLBin-eksekveringsmønstre, PowerShell-obfuskering, Python-interpretere droppet i user space, nye Run keys og mistænkelige scheduled tasks.
• Kampagnens selektive udrulning på domain-joined systemer indikerer en hensigt om at prioritere enterprise-adgang.

Action items / næste skridt

• Sørg for, at Microsoft Defender Antivirus cloud-delivered protection er aktiveret (eller tilsvarende) for at fange hurtigt udviklende varianter.
• Aktivér Microsoft Defender for Endpoint EDR in block mode for at blokere post-breach artefakter, selv når en anden AV er primær.
• Gennemgå og stram kontroller for browser extensions (allowlists, begrænsninger for extension-installation og monitorering af nye installationer).
• Hunt efter mistænkelige mønstre:
  • finger.exe kopieret/omdøbt (f.eks. ct.exe) og uventede udgående forbindelser
  • Obfuskeret PowerShell, der starter download-aktivitet
  • Nye HKCU Run-entries, der kalder pythonw.exe
  • Scheduled tasks med uskyldigt lydende navne (f.eks. “SoftwareProtection”), der eksekverer scripts hvert par minutter
• Styrk brugervejledning: kør aldrig “fix”-kommandoer fra pop-ups; rapportér browser crash loops og uventede extension-prompts med det samme.