Se ha identificado una nueva campaña maliciosa que utiliza el método denominado ‘ClickFix’, en el cual se engaña a los usuarios mediante una verificación CAPTCHA falsa. En lugar de resolver un rompecabezas convencional, se instruye a la víctima para que copie y ejecute un comando manualmente en el cuadro de diálogo ‘Ejecutar’ de Windows. Este comando abusa de un componente legítimo y firmado por Microsoft llamado App-V (Virtualización de Aplicaciones) para ejecutar scripts de PowerShell de manera oculta, una técnica conocida como ‘Living-off-the-land’.
El ataque destaca por su alta sofisticación y capacidad de evasión. Entre sus características principales se encuentran:
1. Evasión de Antivirus: Utiliza procesos de confianza de Windows para disfrazar la actividad maliciosa.
2. Detección de Entornos de Análisis: El malware verifica si se está ejecutando en una máquina de prueba o ‘sandbox’ y detiene su ejecución para evitar ser detectado por investigadores.
3. Esteganografía Avanzada: Los componentes finales del código malicioso se ocultan dentro de imágenes PNG aparentemente inofensivas alojadas en servicios de nube públicos.
El objetivo final es el despliegue de Amatera, un potente ‘infostealer’ diseñado para recolectar credenciales, datos de navegación e información sensible del sistema. Los expertos sugieren como medida de protección restringir el acceso al comando ‘Ejecutar’ mediante políticas de grupo, habilitar el registro avanzado de PowerShell y monitorear conexiones salientes inusuales.
En INGENIERÍA TELEMÁTICA SAS, ayudamos a las organizaciones a mitigar estas amenazas avanzadas mediante la implementación de soluciones de seguridad robustas, incluyendo protección de endpoints (EDR/XDR), monitoreo continuo desde nuestro SOC y la configuración segura de entornos Microsoft 365. Si desea fortalecer la seguridad de su infraestructura y proteger a sus colaboradores contra estas tácticas de engaño, le invitamos a contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es nuestro cliente.
Fuente original: Ver aquí