Investigadores de ciberseguridad han descubierto una campaña maliciosa que tiene como objetivo sitios de WordPress para inyectar código JavaScript malicioso. Este código redirige a los visitantes a sitios web sospechosos, utilizando una técnica de phishing conocida como ClickFix. En esencia, los atacantes insertan modificaciones maliciosas en el archivo ‘functions.php’ de temas de WordPress.
El código inyectado contiene referencias a Google Ads, probablemente para evitar ser detectado. Sin embargo, su verdadera función es actuar como un cargador remoto, enviando una solicitud HTTP POST al dominio ‘brazilc[.]com’. Este dominio responde con un payload dinámico que incluye:
* Un archivo JavaScript alojado en un servidor remoto (‘porsasystem[.]com’), que contiene código para realizar redirecciones del sitio.
* Código JavaScript que crea un iframe oculto de 1×1 píxeles, dentro del cual inyecta código que imita activos legítimos de Cloudflare, como ‘cdn-cgi/challenge-platform/scripts/jsd/main.js’.
Se ha identificado que el dominio ‘porsasystem[.]com’ forma parte de un sistema de distribución de tráfico (TDS) llamado Kongtuke. La cadena de infección comienza cuando los usuarios visitan un sitio comprometido, lo que resulta en la ejecución de ‘porsasystem[.]com/6m9x.js’, que luego lleva a ‘porsasystem[.]com/js.php’ para finalmente redirigir a las víctimas a páginas de estilo ClickFix para la distribución de malware.
Además, se ha detectado el uso de una herramienta llamada IUAM ClickFix Generator, que permite a los atacantes crear páginas de phishing personalizables que imitan los desafíos de verificación del navegador. Estas páginas también manipulan el portapapeles y detectan el sistema operativo para adaptar la secuencia de infección y servir malware compatible, como DeerStealer (para Windows) y Odyssey Stealer (para macOS).
Una variante más reciente de este ataque emplea ‘cache smuggling’ para ocultar la descarga de archivos maliciosos, almacenando datos arbitrarios en la caché del navegador. En este caso, la página de phishing se disfraza de un verificador de cumplimiento de VPN de Fortinet y utiliza tácticas de FileFix para engañar a los usuarios para que ejecuten un script de PowerShell que extrae un payload oculto como una imagen JPEG de la caché del navegador.
Para proteger los sitios de WordPress contra estas amenazas, es fundamental mantener actualizados los plugins, temas y software del sitio web, aplicar contraseñas seguras y escanear los sitios en busca de anomalías y cuentas de administrador inesperadas.
Fuente original: Ver aquí