CrashFix: malware que causa crash no browser e instala RAT

Introdução

Historicamente, o ClickFix tem-se apoiado em engenharia social para levar os utilizadores a executar comandos fornecidos pelo atacante. A nova variante CrashFix aumenta a taxa de sucesso ao primeiro interromper a experiência do utilizador (DoS do browser/loop de crash) e depois apresentar um fluxo de “correção” que leva as vítimas a executar os comandos por iniciativa própria — reduzindo a dependência de exploits e aumentando a furtividade. Para as equipas de IT, isto é um lembrete prático de que execução orientada pelo utilizador + LOLBins + payloads em script podem contornar defesas tradicionais baseadas apenas em assinaturas.

O que há de novo no CrashFix (comportamentos-chave)

1) Extensão maliciosa com sabotagem atrasada

• O acesso inicial começa muitas vezes com um utilizador a pesquisar um ad blocker e a clicar num anúncio malicioso.
• O utilizador é redirecionado para a Chrome Web Store para instalar uma extensão que se faz passar por uBlock Origin Lite, criando uma falsa legitimidade.
• A extensão usa execução atrasada para que os problemas do browser surjam mais tarde, tornando mais difícil para os utilizadores associarem os sintomas à instalação da extensão.

2) Loop de crash do browser + falso prompt “CrashFix”

• O payload desencadeia um denial-of-service do browser através de um loop infinito e, em seguida, apresenta um falso aviso de segurança/pop-up.
• O pop-up tenta convencer o utilizador a executar comandos (por exemplo, via Windows Run), transformando o utilizador no mecanismo de execução.

3) Abuso de LOLBin: finger.exe renomeado e usado como loader

• Uma alteração notável é o abuso do utilitário legítimo do Windows finger.exe, copiado para uma localização temporária e renomeado (por exemplo, ct.exe) para dificultar a deteção.
• O binário renomeado liga-se para fora para obter uma cadeia PowerShell faseada e ofuscada, que deposita payloads adicionais em localizações do perfil do utilizador.

4) Lógica de targeting: sistemas domain-joined recebem a backdoor

• O script PowerShell faz verificações ao ambiente (por exemplo, se o dispositivo está domain-joined) e procura ferramentas de análise.
• Quando são detetadas condições empresariais de maior valor, faz download de uma distribuição WinPython portátil e de um Python RAT (a Microsoft refere-se a este como ModeloRAT).

5) Persistência e payloads subsequentes

• A persistência é estabelecida via HKCU\Software\Microsoft\Windows\CurrentVersion\Run usando pythonw.exe para minimizar artefactos visíveis.
• A entrega de payloads adicionais inclui downloads a partir de alojamento cloud (por exemplo, Dropbox) e, em cadeias posteriores, persistência via scheduled task (por exemplo, uma tarefa chamada “SoftwareProtection”) para executar payloads Python repetidamente.

Impacto para administradores de IT e utilizadores finais

• Utilizadores finais podem reportar crashes súbitos do browser, pop-ups repetidos de “segurança” ou instruções a indicar que devem executar comandos para corrigir o problema.
• Admins devem esperar uma mistura de comportamentos entre web, endpoint e identidade: instalações suspeitas de extensões, padrões de execução de LOLBin, ofuscação PowerShell, interpreters Python colocados em espaço do utilizador, novas Run keys e scheduled tasks suspeitas.
• A implementação seletiva em sistemas domain-joined indica uma intenção de priorizar o acesso a ambientes empresariais.

Ações / próximos passos

• Garanta que a Microsoft Defender Antivirus cloud-delivered protection está ativada (ou equivalente) para detetar variantes em rápida evolução.
• Ative o Microsoft Defender for Endpoint EDR in block mode para bloquear artefactos pós-compromisso, mesmo quando outro AV é o principal.
• Reveja e reforce os controlos para extensões do browser (allowlists, restrições de instalação de extensões e monitorização de novas instalações).
• Procure padrões suspeitos:
  • finger.exe copiado/renomeado (por exemplo, ct.exe) e ligações de saída inesperadas
  • PowerShell ofuscado a iniciar atividade de download
  • Novas entradas HKCU Run a invocar pythonw.exe
  • Scheduled tasks com nomes aparentemente benignos (por exemplo, “SoftwareProtection”) a executar scripts a cada poucos minutos
• Reforce a orientação aos utilizadores: nunca executar comandos de “correção” a partir de pop-ups; reportar de imediato loops de crash do browser e prompts inesperados de extensões.