CrashFix: сбой браузера, LOLBins и Python RAT

Введение

ClickFix исторически полагался на социальную инженерию, чтобы заставить пользователей выполнять команды, предоставленные атакующим. Новый вариант CrashFix повышает успешность, сначала ухудшая пользовательский опыт (DoS/цикл крашей браузера), а затем предлагая рабочий процесс «исправления», который приводит к тому, что жертвы сами запускают команды — снижая зависимость от эксплойтов и повышая скрытность. Для IT-команд это практическое напоминание о том, что запуск по инициативе пользователя + LOLBins + скриптовые нагрузки могут обходить традиционные защиты, основанные только на сигнатурах.

Что нового в CrashFix (ключевые поведения)

1) Вредоносное расширение с отложенной саботажной активностью

• Первичный доступ часто начинается с того, что пользователь ищет блокировщик рекламы и кликает по вредоносному объявлению.
• Пользователь перенаправляется в Chrome Web Store для установки расширения, выдающего себя за uBlock Origin Lite, что создает ложное ощущение легитимности.
• Расширение использует отложенное выполнение, из‑за чего проблемы в браузере проявляются позже, и пользователям сложнее связать симптомы с установкой расширения.

2) Цикл крашей браузера + поддельное окно «CrashFix»

• Нагрузка вызывает отказ в обслуживании браузера через бесконечный цикл, затем отображает фальшивое предупреждение/всплывающее окно безопасности.
• Всплывающее окно пытается убедить пользователя выполнить команды (например, через Windows Run), превращая пользователя в механизм выполнения.

3) Злоупотребление LOLBin: finger.exe переименовывается и используется как загрузчик

• Заметное изменение — злоупотребление легитимной утилитой Windows finger.exe, которая копируется во временную директорию и переименовывается (например, в ct.exe) для усложнения обнаружения.
• Переименованный бинарник инициирует исходящее соединение, чтобы получить обфусцированную, многоступенчатую цепочку PowerShell, которая сбрасывает дополнительные нагрузки в каталоги профиля пользователя.

4) Логика нацеливания: на системах, присоединенных к домену, устанавливается бэкдор

• Скрипт PowerShell выполняет проверки среды (например, является ли устройство domain-joined) и ищет инструменты анализа.
• При обнаружении более ценных корпоративных условий он загружает portable WinPython distribution и Python RAT (Microsoft называет его ModeloRAT).

5) Закрепление и последующие нагрузки

• Закрепление выполняется через HKCU\Software\Microsoft\Windows\CurrentVersion\Run с использованием pythonw.exe для минимизации видимых артефактов.
• Дополнительная доставка нагрузок включает загрузки из облачного хостинга (например, Dropbox) и, в более поздних цепочках, закрепление через запланированные задачи (например, задача с именем «SoftwareProtection») для периодического запуска Python-нагрузок.

Влияние на IT-администраторов и конечных пользователей

• Конечные пользователи могут сообщать о внезапных сбоях браузера, повторяющихся «security» всплывающих окнах или инструкциях запустить команды для устранения проблемы.
• Администраторам следует ожидать сочетание признаков на уровнях web, endpoint и identity: подозрительные установки расширений, паттерны выполнения LOLBin, обфускация PowerShell, интерпретаторы Python, сброшенные в пользовательское пространство, новые ключи Run и подозрительные запланированные задачи.
• Избирательное развертывание на domain-joined systems указывает на намерение приоритизировать доступ к корпоративной среде.

Рекомендуемые действия / следующие шаги

• Убедитесь, что включена Microsoft Defender Antivirus cloud-delivered protection (или эквивалент), чтобы выявлять быстро эволюционирующие варианты.
• Включите Microsoft Defender for Endpoint EDR in block mode, чтобы блокировать артефакты посткомпрометации, даже если основным является другой AV.
• Пересмотрите и усилите контроль browser extensions (allowlists, ограничения на установку расширений и мониторинг новых установок).
• Выполняйте поиск по подозрительным паттернам:
  • finger.exe, скопированный/переименованный (например, ct.exe), и неожиданные исходящие соединения
  • Обфусцированный PowerShell, порождающий активность загрузок
  • Новые записи HKCU Run, вызывающие pythonw.exe
  • Запланированные задачи с безобидными названиями (например, «SoftwareProtection»), выполняющие скрипты каждые несколько минут
• Усильте пользовательские рекомендации: никогда не запускайте «fix» команды из всплывающих окон; немедленно сообщайте о циклах крашей браузера и неожиданных запросах на установку расширений.