În acest material discutăm despre CrashFix, o extensie falsă de adblocker care instalează, de fapt, un malware de tip RAT.
O nouă campanie de atac cibernetic evidențiază modul în care tehnicile de inginerie socială continuă să evolueze, exploatând comportamente obișnuite ale utilizatorilor, inclusiv în mediile corporate.
Atacul analizează tranziția de la tacticile clasice ClickFix la o variantă mai agresivă, denumită CrashFix, în care erorile artificiale ale browserului sunt folosite pentru a convinge victimele să execute acțiuni care duc la compromiterea sistemelor.
Detalii despre atac și modul de operare
Campania este atribuită unui grup cunoscut sub numele de KongTuke și se bazează pe distribuirea unei extensii false de Google Chrome, prezentată ca un adblocker legitim. Extensia este concepută pentru a imita un produs real, folosind descrieri credibile și elemente vizuale familiare utilizatorilor.
După instalare, extensia rămâne inactivă pentru o perioadă de timp, evitând suspiciunile. Ulterior, aceasta declanșează un consum excesiv de resurse, determinând blocarea sau închiderea forțată a browserului. Această etapă definește componenta CrashFix, în care defecțiunea aparent tehnică este folosită ca element declanșator pentru manipularea utilizatorului.
La repornirea browserului, este afișat un mesaj fals de avertizare care indică o eroare critică și oferă instrucțiuni pentru remedierea problemei. Această abordare extinde mecanismul ClickFix, prin care utilizatorul este convins să execute manual comenzi sau să lanseze procese sugerate de atacatori.
În fundal, extensia copiază automat comenzi malițioase în clipboard. Dacă utilizatorul urmează instrucțiunile afișate, este descărcat și executat ModeloRAT, un troian de acces la distanță care oferă atacatorilor control asupra sistemului, acces la date și posibilitatea de propagare în rețelele interne. Atacul este adaptat în special pentru mediile enterprise, unde impactul unei compromiteri poate fi semnificativ.
Cum funcționează troienii de tip RAT
Troienii de tip RAT (Remote Access Trojan) sunt programe malware care oferă atacatorilor control de la distanță asupra unui sistem compromis, fără știrea utilizatorului. Odată instalați, acești troieni rulează în fundal, se camuflează ca procese legitime și stabilesc o conexiune cu un server de comandă și control, prin care primesc instrucțiuni și transmit date.
Prin intermediul acestei conexiuni, atacatorii pot monitoriza activitatea utilizatorului, colecta date sensibile, captura parole, realiza capturi de ecran sau executa comenzi arbitrare. În mediile enterprise, RAT-urile sunt frecvent utilizate pentru recunoaștere internă, extinderea accesului și compromiterea mai multor sisteme din rețea.
Pentru a rămâne active pe termen lung, acești troieni implementează mecanisme de persistență și folosesc tehnici de evitare a detecției, inclusiv comunicare mascată sau criptată. Din acest motiv, RAT-urile sunt considerate unele dintre cele mai periculoase forme de malware, fiind implicate frecvent în atacuri țintite și campanii de compromitere extinsă.
Cum ne protejăm de astfel de amenințări
Pentru a reduce riscurile asociate atacurilor de tip ClickFix și CrashFix, securizarea stațiilor de lucru trebuie abordată sistematic, prin măsuri clare și aplicate consecvent:
- utilizarea unei soluții antivirus administrate centralizat, cu politici uniforme de scanare, actualizare și răspuns la incidente;
- folosirea exclusivă a software-ului licențiat și validat de departamentul IT, pentru a limita riscurile generate de aplicații modificate sau neactualizate;
- instalarea aplicațiilor și extensiilor doar prin intermediul departamentului IT, pe baza unor proceduri clare de aprobare și testare;
- implementarea unui adblocker controlat la nivel de organizație, care să reducă expunerea la reclame malițioase, conținut înșelător și site-uri compromise;
- gestionarea permisiunilor prin Active Directory, pentru a asigura separarea rolurilor, limitarea accesului la resurse sensibile și aplicarea coerentă a politicilor de securitate.
Aplicarea consecventă a acestor măsuri reduce semnificativ suprafața de atac și limitează impactul potențial al campaniilor care exploatează erorile simulate și comportamentul utilizatorilor finali.
Concluzie
Atacul care folosește o extensie falsă de Chrome evidențiază o direcție clară în evoluția amenințărilor cibernetice: combinarea defecțiunilor artificiale cu ingineria socială avansată. Trecerea de la ClickFix la CrashFix crește șansele ca utilizatorii să participe involuntar la compromiterea propriilor sisteme.
În acest context, controlul strict al mediului de lucru, politicile de securitate bine definite și educarea utilizatorilor rămân elemente esențiale pentru prevenirea incidentelor și reducerea impactului atacurilor moderne.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de prestari servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
