Una combinación de métodos de propagación, narrativa sofisticada y técnicas de evasión permitió que la táctica de ingeniería social conocida como ClickFix alcanzara su máximo auge durante el último año, según nuevos hallazgos.
¿Qué es ClickFix?
ClickFix es una táctica de ingeniería social que engaña a las víctimas para que infecten sus propios equipos con el pretexto de solucionar un problema inexistente o realizar una verificación CAPTCHA. Se detectó por primera vez en la red a principios de 2024.
Metodología y vectores de infección
Los ataques emplean diversos vectores de infección, como correos electrónicos de phishing, descargas no autorizadas, publicidad maliciosa y envenenamiento SEO. Estos métodos dirigen a los usuarios a páginas falsas que muestran mensajes de error.
Los mensajes tienen un objetivo: guiar a las víctimas para que sigan una serie de pasos que hacen que un comando malicioso copiado en su portapapeles se ejecute al pegarlo en el cuadro de diálogo Ejecutar de Windows o en la aplicación Terminal, en el caso de macOS.
Impacto y evolución
El comando malicioso desencadena una secuencia de varias etapas que resulta en la implementación de diversos tipos de malware, como ladrones, troyanos de acceso remoto y cargadores. Esto subraya la flexibilidad de la amenaza.
La táctica se ha vuelto tan efectiva que ha dado lugar a lo que Guardio denomina un CAPTCHAggeddon, con actores tanto cibercriminales como estatales utilizando esta táctica en docenas de campañas en un corto período de tiempo.
Relación con ClearFake
ClickFix es una variante más sigilosa de ClearFake, que consiste en aprovechar sitios web de WordPress comprometidos para mostrar ventanas emergentes falsas de actualización del navegador que distribuyen malware ladrón. Posteriormente, ClearFake incorporó tácticas de evasión avanzadas como EtherHiding para ocultar la carga útil mediante los contratos de la Smart Chain (BSC) de Binance.
Adaptación y perfeccionamiento
Guardio afirmó que el éxito de ClickFix es resultado del perfeccionamiento constante de los vectores de propagación, la diversificación de los señuelos y los mensajes, así como de los métodos utilizados para anticiparse a la curva de detección.
Algunas formas notables en que se ha adaptado el enfoque incluyen el abuso de Google Scripts para alojar flujos de CAPTCHA falsos, aprovechando así la confianza asociada al dominio de Google. También se incrusta la carga útil en fuentes de archivos de apariencia legítima, como socket.io.min.js.
Conclusión y análisis
«Esta escalofriante lista de técnicas —ofuscación, carga dinámica, archivos de apariencia legítima, gestión multiplataforma, entrega de carga útil de terceros y abuso de hosts de confianza como Google— demuestra cómo los actores de amenazas se han adaptado continuamente para evitar la detección», añadió Chen. Es un duro recordatorio de que estos atacantes no solo están perfeccionando sus estrategias de phishing o ingeniería social, sino que también invierten considerablemente en métodos técnicos para garantizar que sus ataques sigan siendo eficaces y resistentes a las medidas de seguridad.