Una nueva campaña de distribución de malware se basa en la manipulación de errores falsos de Google Chrome, Microsoft Word y OneDrive para inducir a los usuarios a ejecutar comandos maliciosos de PowerShell. Estos comandos instalan diversos tipos de malware en los sistemas afectados.
Actores de amenazas involucrados
La campaña ha sido observada por múltiples actores de amenazas, incluyendo a ClearFake, ClickFix y TA571. Estos grupos son conocidos por su actividad en el entorno cibernético, especialmente en la distribución de malware mediante técnicas como el envío masivo de correos electrónicos.
Metodología de ataque
Los ataques emplean JavaScript en archivos adjuntos HTML y sitios web comprometidos. Los usuarios son engañados al ver errores falsos que simulan problemas con los programas mencionados, lo cual les lleva a copiar un comando de PowerShell del portapapeles y ejecutarlo.
Estas acciones permiten la instalación de malware como DarkGate, Matanbuchus, NetSupport, Amadey Loader, XMRig, un secuestrador de portapapeles y Lumma Stealer. La ingeniería social utilizada es lo suficientemente persuasiva para que los usuarios tomen medidas sin considerar el riesgo.
Detalles técnicos
Los analistas de ProofPoint observaron tres cadenas de ataques distintas, diferenciándose principalmente en sus etapas iniciales. En una de ellas, se utilizó la técnica «EtherHiding», que implica el uso de contratos inteligentes en la cadena Binance para alojar scripts maliciosos.
El script malicioso muestra un error falso de Google Chrome y solicita al usuario que instale un certificado raíz mediante la ejecución de un comando de PowerShell. Al hacerlo, se inicia una serie de pasos que incluyen la vacía de la caché DNS, la eliminación del contenido del portapapeles y la descarga de cargas útiles adicionales.
En otro caso, los actores de amenazas emplearon una inyección en sitios web comprometidos para superponer un error falso de Google Chrome. Los usuarios se les pide que abran PowerShell como administrador y peguen el código proporcionado, lo cual resulta en la misma infección.
Finalmente, se utilizó una campaña basada en correo electrónico con archivos adjuntos HTML que imitan documentos de Word. El mensaje incluye opciones para «solucionar» o realizar una «reparación automática», las cuales copian un comando codificado en Base64 al portapapeles.
Impacto y vulnerabilidades
Los actores de amenazas explotan la falta de conciencia de los usuarios sobre los riesgos de ejecutar comandos de PowerShell. Además, aprovechan la incapacidad de Windows para detectar y bloquear acciones maliciosas iniciadas por código pegado.
La campaña muestra que TA571 está experimentando con múltiples métodos para mejorar la efectividad de sus ataques y encontrar nuevas vías de infección. Los diferentes enfoques utilizados indican una estrategia activa para comprometer más sistemas.