Специалисты Microsoft обнаружили новую вариацию кампании ClickFix, именуемую CrashFix, которая эксплуатирует сбой браузера и социальную инженерию. Злоумышленники начинают с привлечения жертв к установке вредоносного расширения, представленного как uBlock Origin Lite, через обманчивое объявление в Chrome Web Store. Это расширение не активируется сразу, а запускает вредоносные действия позже, замедляя обнаружение.
После установки оно создает проблемы с браузером и показывает ложное предупреждение о сбое, предлагая пользователю следовать инструкциям для его «восстановления». На данном этапе злоумышленники используют стандартную утилиту Windows finger.exe, переименовывают ее и подключают к удаленной системе, загружая скрытые команды PowerShell.
Далее происходит проверка на наличие запущенных анализаторов, и в случае нахождения доменной машины активируется Python-троян ModeloRAT. Microsoft рекомендует применять методы защиты, такие как антивирусное облачное решение и ограничение доступа к встроенным утилитам для повышения сетевой безопасности.