CrashFix malver: rušenje pregledača i Python RAT

Uvod

ClickFix se istorijski oslanjao na socijalni inženjering kako bi naveo korisnike da izvrše komande koje napadač obezbedi. Nova varijanta CrashFix povećava stopu uspeha tako što prvo narušava korisničko iskustvo (browser DoS/crash loop), a zatim prikazuje tok „popravke” koji dovodi do toga da žrtve same pokreću komande—smanjujući oslanjanje na exploit-e, uz povećanje prikrivenosti. Za IT timove, ovo je praktičan podsetnik da user-driven execution + LOLBins + script payloads može zaobići tradicionalne odbrane zasnovane isključivo na potpisima.

Šta je novo u CrashFix-u (ključna ponašanja)

1) Zlonamerna ekstenzija sa odloženom sabotažom

• Početni pristup često počinje tako što korisnik pretražuje ad blocker i klikne na zlonamerni oglas.
• Korisnik se preusmerava na Chrome Web Store da instalira ekstenziju koja se lažno predstavlja kao uBlock Origin Lite, čime se stvara privid legitimnosti.
• Ekstenzija koristi odloženo izvršavanje, pa se problemi u pregledaču pojavljuju kasnije, što korisnicima otežava da simptome povežu sa instalacijom ekstenzije.

2) Loop rušenja pregledača + lažni „CrashFix” prompt

• Payload izaziva denial-of-service u pregledaču putem beskonačne petlje, a zatim prikazuje lažno bezbednosno upozorenje/pop-up.
• Pop-up pokušava da ubedi korisnika da izvrši komande (na primer preko Windows Run), pretvarajući korisnika u mehanizam izvršavanja.

3) Zloupotreba LOLBin-a: finger.exe preimenovan i korišćen kao loader

• Značajna promena je zloupotreba legitimnog Windows alata finger.exe, koji se kopira u temp lokaciju i preimenuje (npr. u ct.exe) radi otežanog otkrivanja.
• Preimenovani binarni fajl uspostavlja odlaznu konekciju kako bi preuzeo obfuskovani, fazni PowerShell lanac koji spušta dodatne payload-ove u lokacije unutar korisničkog profila.

4) Logika ciljanja: domain-joined sistemi dobijaju backdoor

• PowerShell skripta sprovodi provere okruženja (npr. da li je uređaj domain-joined) i traži alate za analizu.
• Kada se detektuju uslovi tipični za enterprise i veća vrednost mete, preuzima portable WinPython distribution i Python RAT (Microsoft ga označava kao ModeloRAT).

5) Postojanost i naknadni payload-ovi

• Postojanost se uspostavlja preko HKCU\Software\Microsoft\Windows\CurrentVersion\Run uz korišćenje pythonw.exe radi minimizovanja vidljivih artefakata.
• Dodatna isporuka payload-ova uključuje preuzimanja sa cloud hostinga (npr. Dropbox) i, u kasnijim lancima, postojanost preko scheduled task-a (npr. zadatak nazvan „SoftwareProtection”) kako bi se Python payload-ovi periodično pokretali.

Uticaj na IT administratore i krajnje korisnike

• Krajnji korisnici mogu prijaviti iznenadna rušenja pregledača, ponavljajuće „security” pop-up prozore ili instrukcije da pokrenu komande kako bi „popravili” problem.
• Administratori treba da očekuju kombinaciju ponašanja kroz web, endpoint i identitet: sumnjive instalacije ekstenzija, obrasce izvršavanja LOLBin-a, PowerShell obfuskaciju, Python interpretere spuštene u korisnički prostor, nove Run ključeve i sumnjive scheduled task-ove.
• Selektivna isporuka na domain-joined sistemima ukazuje na nameru da se prioritet da enterprise pristupu.

Action items / sledeći koraci

• Obezbedite da je Microsoft Defender Antivirus cloud-delivered protection omogućen (ili ekvivalent) kako bi se uhvatile varijante koje se brzo menjaju.
• Omogućite Microsoft Defender for Endpoint EDR in block mode da blokira post-breach artefakte čak i kada je drugi AV primaran.
• Pregledajte i pooštrite kontrole za browser extensions (allowlists, ograničenja instalacije ekstenzija i nadzor novih instalacija).
• Hunt-ujte sumnjive obrasce:
  • finger.exe kopiran/preimenovan (npr. ct.exe) i neočekivane odlazne konekcije
  • Obfuskovani PowerShell koji pokreće download aktivnost
  • Novi unosi u HKCU Run koji pozivaju pythonw.exe
  • Scheduled task-ovi sa bezazlenim nazivima (npr. „SoftwareProtection”) koji izvršavaju skripte na svakih nekoliko minuta
• Pojačajte smernice za korisnike: nikada ne pokrećite „fix” komande iz pop-up prozora; odmah prijavite loop rušenja pregledača i neočekivane prompt-ove za ekstenzije.