La Campaña de Malware ClickFix Regresa con Nuevas Tácticas de Entrega

Resumen

Se ha identificado una nueva campaña ClickFix que utiliza páginas de verificación falsas de Cloudflare para atacar a usuarios de macOS y Windows. La campaña utiliza dominios maliciosos para alojar contenido engañoso y distribuir malware. No se pudo recuperar el payload específico de malware durante esta investigación debido a errores del servidor y fallos de resolución.

Investigación

El investigador analizó el tráfico generado por las páginas de verificación falsas e identificó una cadena de URL alojadas en un dominio malicioso específico. Los intentos de recuperar el malware para Windows resultaron en un error 403 Prohibido, mientras que el comando específico para macOS condujo a un dominio que no se pudo resolver. La investigación se centró en los patrones de URL y la infraestructura de alojamiento utilizada para los scripts engañosos.

Mitigación

Se debe educar a los usuarios para que reconozcan las páginas de verificación falsas y eviten ejecutar comandos o descargar archivos sugeridos por mensajes inesperados del navegador. Las organizaciones deberían implementar filtros web para bloquear los dominios maliciosos conocidos identificados en esta campaña. También se recomienda monitorear ejecuciones de procesos inusuales después de interacciones basadas en la web.

Respuesta

Al detectar comunicación con los dominios maliciosos identificados, aísle el host afectado de la red. Realice un análisis forense del punto final para determinar si se ejecutaron comandos o si se descargó correctamente el malware. Revise los registros de proxy web para identificar otros hosts internos potencialmente comprometidos que estén comunicándose con la infraestructura identificada.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario ha logrado persuadir a un usuario para que visite una página falsa de «Verificación Cloudflare». Al cargarse la página, el navegador realiza automáticamente varias solicitudes al dominio controlado por el atacante js-static.cfd para integrar elementos visuales engañosos (fuentes y logotipos) y la lógica maliciosa principal (embed.js). Esta simulación utiliza curl para imitar las solicitudes GET del navegador para estas URL específicas para activar la regla de detección basada en proxy.

• Script de Prueba de Regresión:

  #!/bin/bash
  # Script de Simulación de la Campaña ClickFix
  # Propósito: Generar telemetría que coincida con los patrones de reglas Sigma
  
  echo "[*] Comenzando la Simulación de ClickFix..."
  
  # Dominio Objetivo: js-static.cfd
  # Simulando varias URLs identificadas en la lógica de detección
  
  echo "[+] Simulando: Carga de script embed malicioso..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] Simulando: Golpe de telemetría de API..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] Simulando: Carga de activos falsos de Cloudflare (Logo/Fuentes)..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] Simulando: Evento de seguimiento de API..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] Simulación Completa. Verifique SIEM para alertas."

• Comandos de Limpieza:

  # No se realizaron cambios persistentes en el sistema. 
  # Si se descargaron archivos, elimínelos.
  rm -f embed.js CF-Logo*.png
  echo "[*] Limpieza completa."