CrashFix: awarie przeglądarki, LOLBins i Python RAT

Wprowadzenie

ClickFix historycznie opierał się na socjotechnice, aby skłonić użytkowników do wykonania poleceń dostarczonych przez atakującego. Nowy wariant CrashFix zwiększa skuteczność, najpierw zakłócając doświadczenie użytkownika (DoS przeglądarki/pętla awarii), a następnie prezentując przepływ „naprawy”, który prowadzi ofiary do samodzielnego uruchomienia poleceń—zmniejszając zależność od exploitów, a jednocześnie zwiększając skrytość. Dla zespołów IT to praktyczne przypomnienie, że uruchomienie przez użytkownika + LOLBins + ładunki skryptowe mogą ominąć tradycyjne mechanizmy oparte wyłącznie na sygnaturach.

Co nowego w CrashFix (kluczowe zachowania)

1) Złośliwe rozszerzenie z opóźnionym sabotażem

• Dostęp początkowy często zaczyna się od tego, że użytkownik wyszukuje ad blocker i klika złośliwą reklamę.
• Użytkownik jest przekierowywany do Chrome Web Store, aby zainstalować rozszerzenie podszywające się pod uBlock Origin Lite, co buduje fałszywą wiarygodność.
• Rozszerzenie używa opóźnionego wykonania, przez co problemy z przeglądarką pojawiają się później, a użytkownikom trudniej powiązać objawy z instalacją rozszerzenia.

2) Pętla awarii przeglądarki + fałszywy prompt „CrashFix”

• Ładunek wywołuje odmowę usługi przeglądarki poprzez nieskończoną pętlę, po czym wyświetla fałszywe ostrzeżenie bezpieczeństwa/pop-up.
• Pop-up próbuje przekonać użytkownika do wykonania poleceń (np. przez Windows Run), czyniąc z użytkownika mechanizm wykonawczy.

3) Nadużycie LOLBin: finger.exe zmieniony nazwą i użyty jako loader

• Istotną zmianą jest nadużycie legalnego narzędzia Windows finger.exe, skopiowanego do lokalizacji tymczasowej i przemianowanego (np. ct.exe) w celu utrudnienia detekcji.
• Zmieniony nazwą plik binarny nawiązuje połączenie wychodzące, aby pobrać zaciemniony, etapowy łańcuch PowerShell, który zrzuca dodatkowe ładunki do lokalizacji w profilu użytkownika.

4) Logika targetowania: systemy dołączone do domeny otrzymują backdoor

• Skrypt PowerShell wykonuje kontrole środowiskowe (np. czy urządzenie jest domain-joined) oraz szuka narzędzi analitycznych.
• Gdy wykryte zostaną warunki typowe dla środowiska enterprise o wyższej wartości, pobiera przenośną dystrybucję WinPython oraz Python RAT (Microsoft określa go jako ModeloRAT).

5) Trwałość i ładunki następcze

• Trwałość jest ustanawiana poprzez HKCU\Software\Microsoft\Windows\CurrentVersion\Run z użyciem pythonw.exe, aby zminimalizować widoczne artefakty.
• Dodatkowe dostarczanie ładunków obejmuje pobieranie z hostingu w chmurze (np. Dropbox) oraz—w późniejszych łańcuchach—trwałość przez scheduled task (np. zadanie o nazwie „SoftwareProtection”) do wielokrotnego uruchamiania ładunków Pythona.

Wpływ na administratorów IT i użytkowników końcowych

• Użytkownicy końcowi mogą zgłaszać nagłe awarie przeglądarki, powtarzające się pop-upy „bezpieczeństwa” lub instrukcje uruchomienia poleceń w celu naprawy problemu.
• Administratorzy powinni oczekiwać mieszanki zachowań w obszarach web, endpoint i identity: podejrzanych instalacji rozszerzeń, wzorców uruchamiania LOLBin, zaciemniania PowerShell, interpreterów Pythona zrzucanych w przestrzeni użytkownika, nowych kluczy Run oraz podejrzanych scheduled tasks.
• Selektywne wdrażanie na systemach domain-joined wskazuje na zamiar priorytetyzowania dostępu do środowisk enterprise.

Działania / kolejne kroki

• Upewnij się, że Microsoft Defender Antivirus cloud-delivered protection jest włączone (lub odpowiednik), aby wykrywać szybko ewoluujące warianty.
• Włącz Microsoft Defender for Endpoint EDR in block mode, aby blokować artefakty po naruszeniu nawet wtedy, gdy podstawowym AV jest inne rozwiązanie.
• Przejrzyj i zaostrz kontrolę nad browser extensions (allowlisty, ograniczenia instalacji rozszerzeń oraz monitorowanie nowych instalacji).
• Prowadź polowanie na podejrzane wzorce:
  • finger.exe kopiowany/przemianowywany (np. ct.exe) oraz nieoczekiwane połączenia wychodzące
  • Zaciemniony PowerShell uruchamiający aktywność pobierania
  • Nowe wpisy HKCU Run wywołujące pythonw.exe
  • Scheduled tasks z niewinnie brzmiącymi nazwami (np. „SoftwareProtection”) wykonujące skrypty co kilka minut
• Wzmocnij wytyczne dla użytkowników: nigdy nie uruchamiaj „naprawczych” poleceń z pop-upów; natychmiast zgłaszaj pętle awarii przeglądarki i nieoczekiwane monity o instalację rozszerzeń.