CrashFix : faux crash navigateur et RAT Python

Introduction

ClickFix s’est historiquement appuyé sur l’ingénierie sociale pour amener les utilisateurs à exécuter des commandes fournies par l’attaquant. La nouvelle variante CrashFix augmente le taux de réussite en dégradant d’abord l’expérience utilisateur (DoS/crash loop du navigateur), puis en présentant un workflow de « correction » qui conduit les victimes à exécuter elles-mêmes des commandes—réduisant la dépendance aux exploits tout en améliorant la furtivité. Pour les équipes IT, c’est un rappel concret que l’exécution pilotée par l’utilisateur + les LOLBins + des charges utiles de scripts peuvent contourner des défenses fondées uniquement sur des signatures.

Quoi de neuf dans CrashFix (comportements clés)

1) Extension malveillante avec sabotage différé

• L’accès initial commence souvent par un utilisateur qui recherche un bloqueur de publicités et clique sur une publicité malveillante.
• L’utilisateur est redirigé vers le Chrome Web Store pour installer une extension usurpant uBlock Origin Lite, créant une fausse légitimité.
• L’extension utilise une exécution différée afin que les problèmes de navigateur surviennent plus tard, rendant plus difficile pour l’utilisateur d’associer les symptômes à l’installation de l’extension.

2) Crash loop du navigateur + faux prompt « CrashFix »

• La charge utile déclenche un déni de service du navigateur via une boucle infinie, puis affiche un faux avertissement/pop-up de sécurité.
• Le pop-up tente de convaincre l’utilisateur d’exécuter des commandes (par exemple via Exécuter de Windows), faisant de l’utilisateur le mécanisme d’exécution.

3) Abus de LOLBin : finger.exe renommé et utilisé comme loader

• Un changement notable est l’abus de l’utilitaire Windows légitime finger.exe, copié dans un emplacement temporaire puis renommé (par ex. ct.exe) pour compliquer la détection.
• Le binaire renommé établit une connexion sortante afin de récupérer une chaîne PowerShell obfusquée et segmentée, qui dépose des charges utiles supplémentaires dans des emplacements du profil utilisateur.

4) Logique de ciblage : les systèmes joints au domaine reçoivent la backdoor

• Le script PowerShell effectue des contrôles d’environnement (par ex. si l’appareil est domain-joined) et recherche des outils d’analyse.
• Lorsque des conditions d’entreprise à plus forte valeur sont détectées, il télécharge une distribution WinPython portable ainsi qu’un Python RAT (Microsoft le désigne comme ModeloRAT).

5) Persistance et charges utiles ultérieures

• La persistance est établie via HKCU\Software\Microsoft\Windows\CurrentVersion\Run en utilisant pythonw.exe pour réduire les artefacts visibles.
• La livraison de charges utiles supplémentaires inclut des téléchargements depuis des hébergements cloud (par ex. Dropbox) et, dans des chaînes ultérieures, une persistance via tâche planifiée (par ex. une tâche nommée « SoftwareProtection ») afin d’exécuter des charges utiles Python de manière répétée.

Impact sur les administrateurs IT et les utilisateurs finaux

• Les utilisateurs finaux peuvent signaler des crashs soudains du navigateur, des pop-ups « de sécurité » répétées, ou des instructions leur demandant d’exécuter des commandes pour corriger le problème.
• Les administrateurs doivent s’attendre à un mélange de comportements côté web, endpoint et identité : installations suspectes d’extensions, schémas d’exécution de LOLBins, obfuscation PowerShell, interpréteurs Python déposés dans l’espace utilisateur, nouvelles clés Run et tâches planifiées suspectes.
• Le déploiement sélectif sur des systèmes domain-joined indique une intention de privilégier l’accès aux environnements d’entreprise.

Actions / prochaines étapes

• Vérifiez que la Microsoft Defender Antivirus cloud-delivered protection est activée (ou équivalent) afin de détecter des variantes qui évoluent rapidement.
• Activez Microsoft Defender for Endpoint EDR in block mode pour bloquer des artefacts post-compromission même lorsqu’un autre antivirus est principal.
• Révisez et renforcez les contrôles des extensions de navigateur (allowlists, restrictions d’installation d’extensions et surveillance des nouvelles installations).
• Effectuez des recherches (hunting) sur des schémas suspects :
  • finger.exe copié/renommé (par ex. ct.exe) et connexions sortantes inattendues
  • PowerShell obfusqué initiant des activités de téléchargement
  • Nouvelles entrées HKCU Run invoquant pythonw.exe
  • Tâches planifiées avec des noms anodins (par ex. « SoftwareProtection ») exécutant des scripts toutes les quelques minutes
• Renforcez les consignes utilisateurs : ne jamais exécuter des commandes de « correction » depuis des pop-ups ; signaler immédiatement les crash loops de navigateur et les invites d’extensions inattendues.