Investigadores de ciberseguridad han revelado detalles de una campaña de phishing que distribuye un malware bancario sigiloso convertido en troyano de acceso remoto llamado MostereRAT. Este ataque emplea técnicas de evasión avanzadas para obtener control total sobre los sistemas comprometidos, extraer datos sensibles y extender su funcionalidad mediante plugins secundarios. Se ha detectado que MostereRAT desactiva herramientas de seguridad, utiliza cifrado TLS mutuo (mTLS) para asegurar las comunicaciones de comando y control (C2), e instala herramientas de acceso remoto populares como AnyDesk, TigerVNC y TightVNC. El malware es capaz de ejecutarse como TrustedInstaller, un sistema integrado de Windows con permisos elevados, lo que le permite interferir con procesos críticos de Windows, modificar entradas del Registro y eliminar archivos del sistema.

Paralelamente, se ha identificado una campaña que emplea técnicas similares a ClickFix para distribuir MetaStealer, un ladrón de información. Este ataque implica la presentación de una página falsa de Cloudflare Turnstile antes de descargar un instalador de AnyDesk falso, solicitando a los usuarios que hagan clic en una casilla de verificación, lo que desencadena un mensaje emergente para abrir el Explorador de archivos de Windows. Una vez abierto, se ejecuta código PHP oculto que emplea el protocolo URI “search-ms:” para mostrar un archivo de acceso directo (LNK) disfrazado de PDF alojado en un sitio controlado por el atacante, que a su vez activa una serie de pasos para ejecutar un paquete MSI responsable de instalar MetaStealer.

Además, se ha detectado una adaptación de ClickFix que utiliza indicaciones invisibles mediante métodos de ofuscación basados en CSS para dirigir sistemas de IA y producir resúmenes que incluyen instrucciones ClickFix controladas por el atacante. Esta técnica, denominada “prompt overdose”, consiste en incrustar el payload dentro del contenido HTML de forma que domine el contexto de un modelo de lenguaje grande para dirigir su salida, lo que podría facilitar la implementación de ransomware.

Fuente original: Ver aquí