La operación utilizó Advanced Installer, una herramienta de actualización legítima, para entregar payloads basados en MSI y PowerShell mientras se ocultaba tras una capa de aparente legitimidad. Los investigadores de Huntress James Northey y Ryan Dowd identificaron la amenaza después de que señales de persistencia de WMI comenzaran a activarse en entornos gestionados. Al rastrear la actividad, descubrieron que un ejecutable firmado llamado RaceCarTwo.exe era el origen de toda la cadena de infección. A partir de ahí, el ataque desplegaba Setup.msi, que a su vez ejecutaba un script de PowerShell llamado ClockRemoval.ps1 — un potente eliminador de AV que no solo cerraba los procesos de seguridad, sino que bloqueaba activamente cualquier intento de reinstalarlos. Lo que hizo que la situación fuera especialmente alarmante fue un fallo crítico integrado directamente en la configuración de actualización. El dominio de actualización principal, chromsterabrowser[.]com, estaba completamente sin registrar, lo que significaba que cualquiera dispuesto a gastar aproximadamente $10 para registrarlo obtendría al instante la capacidad de enviar cualquier payload a cada endpoint infectado que ejecutara esa variante del software. 

 Huntress registró el dominio primero, lo apuntó a un sinkhole y, en cuestión de horas, decenas de miles de sistemas infectados comenzaron a conectarse buscando instrucciones — ya fuera ransomware, un infostealer o cualquier otra cosa. Durante una ventana de monitoreo de 24 horas, 23,565 direcciones IP únicas se conectaron al sinkhole, confirmando la verdadera escala de infecciones activas en todo el mundo. La distribución geográfica de la campaña fue significativa. Estados Unidos tuvo el mayor número de infecciones con 12,697 hosts (53.9%), seguido de Francia con 2,803 (11.9%), Canadá con 2,380 (10.1%), el Reino Unido con 2,223 (9.4%) y Alemania con 2,045 (8.7%). Entre todas las infecciones, 324 se rastrearon en redes de alto valor, incluyendo 221 universidades y colegios, 41 redes de tecnología operativa vinculadas a servicios eléctricos e infraestructura crítica, 35 entidades gubernamentales, 24 escuelas primarias y secundarias y 3 organizaciones de salud. También se vieron afectadas redes de múltiples empresas de la lista Fortune 500.

Dentro del Payload Eliminador de AV

El script ClockRemoval.ps1 era el núcleo de la capacidad destructiva del ataque. Una vez desplegado a través del paquete de actualización MSI, realizaba un barrido exhaustivo del sistema infectado — matando procesos antivirus, eliminando sus servicios mediante manipulación del registro y creando cinco tareas programadas ejecutándose como SYSTEM. Estas tareas — ClockSetupWmiAtBoot, DisableClockServicesFirst, DisableClockAtStartup, RemoveClockAtLogon y RemoveClockPeriodic — aseguraban que las herramientas de seguridad fueran eliminadas en cada arranque, inicio de sesión y cada 30 minutos. El script también modificaba el archivo hosts de Windows para redirigir los dominios de actualización de proveedores de AV, incluyendo los de Malwarebytes y Kaspersky, a 0.0.0.0, cortando todas las rutas de reinstalación. Añadió exclusiones de Windows Defender para rutas como DGoogle, EMicrosoft y DDapps — que se cree eran directorios de preparación para payloads futuros. 

También se observaron binarios de Chrome firmados por Dragon Boss Solutions ejecutándose con el flag --simulate-outdated-no-au="01 Jan 2199", deshabilitando permanentemente la función de autoactualización de Chrome. Los equipos de seguridad deberían buscar suscripciones de eventos WMI que contengan "MbRemoval" o "MbSetup" en el nombre del consumidor, monitorear tareas programadas que apunten a directorios WMILoad o scripts ClockRemoval, marcar cualquier proceso firmado por Dragon Boss Solutions LLC, inspeccionar el archivo hosts en busca de dominios de proveedores de AV bloqueados y revisar las rutas de exclusión de Windows Defender en busca de entradas sospechosas como DGoogle, EMicrosoft o DDapps.

Fuentes:
https://cybersecuritynews.com/25000-endpoints-exposed-by-dragon-boss-solutions/