El Comercio de ClickFix Evoluciona Más Allá de los Ataques Basados en el Portapapeles

Resumen

ClickFix es una técnica de ingeniería social que engaña a los usuarios para que ejecuten comandos maliciosos a través de mensajes falsos de verificación del navegador. Los actores de amenazas continúan evolucionando el método para entregar una amplia variedad de cargas útiles, incluyendo RATs, cargadores y ladrones de información. Las variantes más recientes incorporan entrega esteganográfica y cadenas de ejecución sembradas por la caché del navegador.

Investigación

Huntress investigó múltiples variantes de ClickFix que involucran campañas de malvertising, typosquatting y envenenamiento SEO. Los investigadores identificaron cadenas de ataque utilizando RATs basados en Node.js, como DuskDesk, carga lateral de DLL con binarios legítimos de Microsoft y esteganografía PNG para ocultar cargas ejecutables. La investigación también reveló actividad de movimiento lateral dirigida a controladores de dominio a través de protocolos nativos de Windows.

Mitigación

Las organizaciones deben capacitar a los usuarios para que no peguen comandos de páginas web en terminales o diálogos de Ejecutar. Los controles técnicos deben incluir la lista blanca de aplicaciones, el bloqueo de la ejecución desde ubicaciones escritas por el usuario como Temp, y la monitorización de tareas programadas sospechosas o claves de Ejecutar. También se recomienda fuertemente restringir los privilegios de administrador local.

Respuesta

Cuando se detecta actividad de ClickFix, los equipos de seguridad deben centrarse en secuencias de comportamiento sospechosas en lugar de depender solo de IOC estáticos. Busque navegadores generando cmd.exe o PowerShell, archivos inesperados apareciendo en directorios Temp, y tareas programadas recién creadas. Investigue túneles SSH reversos no autorizados y conexiones de red inusuales originadas desde node.exe.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario utiliza una táctica de ingeniería social (ClickFix) donde se le pide al usuario «arreglar» un error de navegador al ejecutar un archivo descargado. En esta simulación, imitamos esto haciendo que el usuario lance un .bat archivo desde una carpeta, lo cual a su vez genera cmd.exe para ejecutar un comando PowerShell. Esto crea la telemetría específica (cmd.exe generando PowerShell y la ejecución de un archivo .bat) que la regla está diseñada para captar.

• Script de Prueba de Regresión:

  # Script de Simulación: Comportamiento estilo ClickFix
  # 1. Crear un archivo por lotes simulado para imitar una carga útil descargada
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Simulating Payload Delivery...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. Ejecutar el archivo por lotes (Esto activa la parte 'selection_batch' de la regla)
  Write-Host "[!] Ejecutando archivo por lotes malicioso simulado..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. Simulando PowerShell generado desde el explorador (Esto activa 'selection_powershell')
  # Nota: Para simular la paternidad de explorer.exe en un script, usamos un enfoque de sub-concha
  Write-Host "[!] Simulando PowerShell generado desde el contexto de Explorer..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Simulated PowerShell from Explorer'`""

• Comandos de Limpieza:

  # Limpieza: Eliminar los archivos maliciosos simulados
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] Limpieza completa."