CrashFix: malware que bloquea el navegador con RAT

Introducción

Históricamente, ClickFix se ha basado en ingeniería social para lograr que los usuarios ejecuten comandos proporcionados por el atacante. La nueva variante CrashFix incrementa la tasa de éxito al interrumpir primero la experiencia del usuario (DoS del navegador/bucle de fallos) y luego presentar un flujo de trabajo de “solución” que lleva a las víctimas a ejecutar los comandos por sí mismas, reduciendo la dependencia de exploits y aumentando la evasión. Para los equipos de TI, esto es un recordatorio práctico de que la ejecución impulsada por el usuario + LOLBins + cargas útiles de scripts pueden eludir defensas tradicionales basadas solo en firmas.

Qué hay de nuevo en CrashFix (comportamientos clave)

1) Extensión maliciosa con sabotaje diferido

• El acceso inicial suele comenzar cuando un usuario busca un bloqueador de anuncios y hace clic en un anuncio malicioso.
• El usuario es redirigido a la Chrome Web Store para instalar una extensión que suplanta a uBlock Origin Lite, creando una falsa legitimidad.
• La extensión utiliza ejecución diferida para que los problemas del navegador aparezcan más tarde, lo que dificulta que los usuarios asocien los síntomas con la instalación de la extensión.

2) Bucle de fallos del navegador + aviso falso de “CrashFix”

• La carga útil provoca una denegación de servicio del navegador mediante un bucle infinito y luego muestra una advertencia/popup de seguridad falsa.
• El popup intenta convencer al usuario de ejecutar comandos (por ejemplo, mediante Windows Run), convirtiendo al usuario en el mecanismo de ejecución.

3) Abuso de LOLBin: finger.exe renombrado y usado como cargador

• Un cambio notable es el abuso de la utilidad legítima de Windows finger.exe, copiada a una ubicación temporal y renombrada (por ejemplo, ct.exe) para dificultar la detección.
• El binario renombrado se conecta hacia fuera para recuperar una cadena de PowerShell ofuscada y por etapas que deposita cargas útiles adicionales en ubicaciones del perfil del usuario.

4) Lógica de targeting: los sistemas unidos al dominio reciben la puerta trasera

• El script de PowerShell realiza comprobaciones del entorno (por ejemplo, si el dispositivo está domain-joined) y busca herramientas de análisis.
• Cuando detecta condiciones empresariales de mayor valor, descarga una distribución portable de WinPython y un Python RAT (Microsoft se refiere a él como ModeloRAT).

5) Persistencia y cargas útiles posteriores

• La persistencia se establece mediante HKCU\Software\Microsoft\Windows\CurrentVersion\Run usando pythonw.exe para minimizar artefactos visibles.
• La entrega de cargas útiles adicionales incluye descargas desde hosting en la nube (por ejemplo, Dropbox) y, en cadenas posteriores, persistencia mediante tareas programadas (por ejemplo, una tarea llamada “SoftwareProtection”) para ejecutar cargas útiles de Python de forma repetida.

Impacto en administradores de TI y usuarios finales

• Los usuarios finales pueden reportar fallos repentinos del navegador, “pop-ups” de “seguridad” repetidos o instrucciones que les indiquen ejecutar comandos para corregir el problema.
• Los administradores deberían esperar una combinación de comportamientos en web, endpoint e identidad: instalaciones sospechosas de extensiones, patrones de ejecución de LOLBins, ofuscación de PowerShell, intérpretes de Python desplegados en el espacio del usuario, nuevas claves Run y tareas programadas sospechosas.
• El despliegue selectivo en sistemas domain-joined indica la intención de priorizar el acceso a entornos empresariales.

Acciones / próximos pasos

• Asegúrese de que Microsoft Defender Antivirus cloud-delivered protection esté habilitado (o su equivalente) para detectar variantes que evolucionan rápidamente.
• Habilite Microsoft Defender for Endpoint EDR in block mode para bloquear artefactos posteriores a una intrusión incluso cuando otro AV sea el principal.
• Revise y refuerce los controles para extensiones del navegador (allowlists, restricciones de instalación de extensiones y monitorización de nuevas instalaciones).
• Realice hunting de patrones sospechosos:
  • finger.exe copiado/renombrado (por ejemplo, ct.exe) y conexiones salientes inesperadas
  • PowerShell ofuscado que inicia actividad de descarga
  • Nuevas entradas HKCU Run que invoquen pythonw.exe
  • Tareas programadas con nombres aparentemente benignos (por ejemplo, “SoftwareProtection”) que ejecuten scripts cada pocos minutos
• Refuerce la guía a usuarios: nunca ejecute comandos de “arreglo” desde pop-ups; reporte de inmediato los bucles de fallos del navegador y las solicitudes inesperadas de extensiones.