CrashFix-Malware: Browser-Crash-Köder und Python-RAT

Einleitung

ClickFix hat sich bislang auf Social Engineering verlassen, um Benutzer dazu zu bringen, von Angreifern bereitgestellte Befehle auszuführen. Die neue CrashFix-Variante erhöht die Erfolgsquote, indem sie zunächst die Benutzererfahrung stört (Browser-DoS/Crash-Loop) und anschließend einen „Fix“-Workflow präsentiert, der Opfer dazu bringt, die Befehle selbst auszuführen – wodurch die Abhängigkeit von Exploits sinkt, während die Tarnung zunimmt. Für IT-Teams ist das eine praxisnahe Erinnerung daran, dass benutzergetriebene Ausführung + LOLBins + Skript-Nutzlasten klassische, rein signaturbasierte Abwehrmaßnahmen umgehen können.

Was ist neu bei CrashFix (Schlüsselverhalten)

1) Bösartige Erweiterung mit verzögerter Sabotage

• Der Erstzugriff beginnt häufig damit, dass ein Benutzer nach einem Ad-Blocker sucht und auf eine bösartige Anzeige klickt.
• Der Benutzer wird in den Chrome Web Store weitergeleitet, um eine Erweiterung zu installieren, die sich als uBlock Origin Lite ausgibt und so eine falsche Legitimität erzeugt.
• Die Erweiterung nutzt verzögerte Ausführung, sodass Browserprobleme erst später auftreten und es für Benutzer schwieriger wird, die Symptome mit der Installation der Erweiterung in Verbindung zu bringen.

2) Browser-Crash-Loop + gefälschte „CrashFix“-Aufforderung

• Die Nutzlast löst über eine Endlosschleife einen Browser-Denial-of-Service aus und zeigt anschließend eine gefälschte Sicherheitswarnung/ein Pop-up an.
• Das Pop-up versucht, den Benutzer zu überzeugen, Befehle auszuführen (z. B. über Windows Run) und macht damit den Benutzer selbst zum Ausführungsmechanismus.

3) LOLBin-Missbrauch: finger.exe umbenannt und als Loader verwendet

• Eine auffällige Änderung ist der Missbrauch des legitimen Windows-Tools finger.exe, das an einen Temp-Speicherort kopiert und umbenannt wird (z. B. ct.exe), um die Erkennung zu erschweren.
• Die umbenannte Binärdatei stellt eine ausgehende Verbindung her, um eine verschleierte, gestufte PowerShell-Kette abzurufen, die zusätzliche Nutzlasten in Speicherorte im Benutzerprofil ablegt.

4) Targeting-Logik: Domain-joined-Systeme erhalten die Backdoor

• Das PowerShell-Skript führt Umgebungsprüfungen durch (z. B. ob das Gerät domain-joined ist) und sucht nach Analyse-Tools.
• Wenn höherwertige Enterprise-Bedingungen erkannt werden, lädt es eine portable WinPython-Distribution und einen Python RAT herunter (Microsoft bezeichnet ihn als ModeloRAT).

5) Persistenz und nachgelagerte Nutzlasten

• Persistenz wird über HKCU\Software\Microsoft\Windows\CurrentVersion\Run eingerichtet, wobei pythonw.exe verwendet wird, um sichtbare Artefakte zu minimieren.
• Zusätzliche Nutzlastzustellung umfasst Downloads von Cloud-Hosting (z. B. Dropbox) und in späteren Ketten Persistenz per Scheduled Task (z. B. ein Task namens „SoftwareProtection“), um Python-Nutzlasten wiederholt auszuführen.

Auswirkungen auf IT-Administratoren und Endbenutzer

• Endbenutzer melden möglicherweise plötzliche Browser-Abstürze, wiederholte „Sicherheits“-Pop-ups oder Anweisungen, zur Behebung des Problems Befehle auszuführen.
• Admins sollten mit einem Mix aus Verhaltensmustern über Web, Endpoint und Identity rechnen: verdächtige Extension-Installationen, LOLBin-Ausführungsmuster, PowerShell-Verschleierung, in Benutzerverzeichnisse abgelegte Python-Interpreter, neue Run-Keys sowie verdächtige Scheduled Tasks.
• Die selektive Bereitstellung auf domain-joined-Systemen deutet auf die Absicht hin, Enterprise-Zugriff zu priorisieren.

Maßnahmen / nächste Schritte

• Stellen Sie sicher, dass Microsoft Defender Antivirus cloud-delivered protection aktiviert ist (oder ein Äquivalent), um sich schnell weiterentwickelnde Varianten zu erkennen.
• Aktivieren Sie Microsoft Defender for Endpoint EDR in block mode, um Post-Breach-Artefakte zu blockieren, selbst wenn ein anderes AV-Produkt primär ist.
• Prüfen und verschärfen Sie Kontrollen für Browsererweiterungen (Allowlists, Einschränkungen für die Installation von Extensions und Monitoring neuer Installationen).
• Suchen Sie nach verdächtigen Mustern:
  • finger.exe kopiert/umbenannt (z. B. ct.exe) und unerwartete ausgehende Verbindungen
  • Verschleierte PowerShell, die Download-Aktivitäten startet
  • Neue HKCU Run-Einträge, die pythonw.exe aufrufen
  • Scheduled Tasks mit harmlos klingenden Namen (z. B. „SoftwareProtection“), die Skripts alle paar Minuten ausführen
• Stärken Sie die Benutzerleitlinien: niemals „Fix“-Befehle aus Pop-ups ausführen; Browser-Crash-Loops und unerwartete Extension-Prompts umgehend melden.