Investigadores de ciberseguridad han advertido sobre una nueva campaña que está utilizando una variante de la táctica de ingeniería social FileFix para distribuir el malware StealC, un ladrón de información. La campaña observada utiliza un sitio de phishing multilingüe altamente convincente, a menudo simulando ser una página de seguridad de Facebook, con técnicas anti-análisis y ofuscación avanzada para evadir la detección.
El ataque se basa en FileFix para engañar a los usuarios para que ejecuten una carga útil inicial que descarga imágenes aparentemente inofensivas que contienen componentes maliciosos desde un repositorio de Bitbucket. Esto permite a los atacantes abusar de la confianza asociada con una plataforma legítima de alojamiento de código fuente para evitar la detección.
FileFix engaña a los usuarios para que copien y peguen un comando en la barra de direcciones del Explorador de archivos, lo que provoca que se ejecute localmente en la máquina de la víctima. El ataque comienza con un sitio de phishing al que la víctima es redirigida desde un correo electrónico que advierte sobre la posible suspensión de sus cuentas de Facebook. Al hacer clic en un botón para apelar la decisión, se muestra un mensaje indicando que pueden acceder a una versión PDF de la supuesta violación de la política copiando y pegando una ruta al documento en la barra de direcciones del Explorador de archivos.
Si bien la ruta proporcionada parece inofensiva, al hacer clic en el botón “Copiar”, en realidad se copia un comando malicioso que descarga una imagen, la decodifica en la siguiente etapa de la carga útil y, en última instancia, ejecuta un cargador basado en Go que desempaqueta el shellcode responsable de iniciar StealC.
La principal diferencia con ClickFix es que FileFix abusa de una función del navegador en lugar de abrir el cuadro de diálogo Ejecutar, que podría ser bloqueado por un administrador como medida de seguridad. Sin embargo, la carga útil se ejecuta desde el navegador, lo que puede ser más detectable.
Otra campaña detectada utiliza portales de soporte falsos, páginas de error de Cloudflare CAPTCHA y el secuestro del portapapeles (ClickFix) para engañar a las víctimas para que ejecuten código malicioso de PowerShell que descarga y ejecuta un script de AutoHotkey (AHK). Este script recopila información del host comprometido y entrega cargas útiles adicionales, como AnyDesk, TeamViewer, ladrones de información y malware clipper. Se observaron variantes donde las víctimas son guiadas para ejecutar un comando MSHTA que apunta a un dominio de Google falso, que luego recupera y ejecuta un script malicioso remoto.
En INGENIERÍA TELEMÁTICA SAS, estamos al tanto de estas nuevas amenazas y contamos con las soluciones para proteger su información. Le invitamos a contactarnos a través de nuestro formulario de contacto o por los medios habituales para evaluar su seguridad y brindarle las mejores opciones de protección, incluyendo soluciones Fortinet y Microsoft.
Fuente original: Ver aquí