Los ataques de ingeniería social, donde se encuadran los denominados ataques ClickFix, son una de las formas más utilizadas para difundir malware, infectar computadoras o robar datos. Y es que en ciberseguridad, el componente humano sigue siendo el eslabón más débil de la cadena. como vemos en las campañas de suplantación de identidad, Phishing o Ransomware que se inician de la misma manera: aprovechando el factor humano.
Investigadores de seguridad de Huntress han descubierto una sofisticada evolución de los ataques ClickFix, donde los cibercriminales combinan animaciones realistas falsas de Windows Update con técnicas avanzadas de ingeniería social para comprometer los sistemas. El objetivo de estos ataques, como otros dentro de la ingeniería social, es engañar al usuario para que realice una acción que el software de seguridad suele bloquear cuando intenta acceder automáticamente. Este tipo de ataques ha sido ampliamente adoptado por ciberdelincuentes en todos los niveles debido a su alta efectividad y ha evolucionado continuamente, con señuelos cada vez más avanzados y engañosos como el que nos ocupa.
En estas nuevas variantes, las víctimas se encuentran con páginas de navegador a pantalla completa que simulan una actualización crítica de seguridad de Windows o un captcha de «verificación humana». La página indica al usuario que presione una secuencia específica de teclas para resolver un error o verificar su identidad.
Sin que el usuario lo sepa, el JavaScript que se ejecuta en el sitio malicioso ya ha copiado un comando malicioso en su portapapeles. Al seguir las instrucciones de pulsación de tecla (que a menudo implican pegarlas en el cuadro de diálogo Ejecutar de Windows o en el Símbolo del sistema), ejecuta inadvertidamente el código del atacante.
En realidad, es bastante inteligente, y por eso da miedo. Lo que distingue a esta campaña específica es el uso de esteganografía para ocultar la carga útil del malware. En lugar de descargar un archivo malicioso reconocible, los atacantes ocultan el código dentro de los datos de píxeles de las imágenes PNG.
Los investigadores de Huntress explican que el código malicioso está codificado directamente dentro de canales de color específicos de la imagen. Para un observador casual o con un análisis de seguridad básico, el archivo parece una imagen inofensiva. Sin embargo, la cadena de ataque incluye un ensamblado .NET conocido como «Stego Loader». Este cargador se encarga de analizar la imagen, extraer la carga útil cifrada de los píxeles y descifrarla en la memoria.

Cómo funciona
Imagina que estás navegando por un sitio web que muestra un error falso en pantalla completa, como una actualización de Windows bloqueada o una verificación de identidad. Los scripts en segundo plano del sitio copian código malicioso en el portapapeles del ordenador. La pantalla indica que abras el símbolo del sistema de Windows y pegues el texto para solucionar el problema. Al pulsar «Intro», el comando descarga un archivo de imagen aparentemente inofensivo, que en realidad contiene el malware, descifrado por el ensamblador. La función de punto de entrada inicia llamadas a más de 10.000 funciones vacías para agotar o confundir las herramientas de análisis antes de ejecutar la carga útil real.
Usuarios avanzados probablemente no sean víctimas de este tipo de ataques ClickFix, pero cualquiera puede hacer clic en un enlace al navegar por Internet y provocar el consiguiente desastre.
La entrada Así de peligrosos son los ataques ClickFix se publicó primero en MuyComputer.