Hablemos de una de las técnicas de ingeniería social que han estado utilizando en los últimos meses los actores de amenaza para facilitar el acceso inicial a las organizaciones.
A este punto, creo que ya hemos escuchado una y otra vez del Clickfix, una técnica donde su objetivo principal es engañar a un usuario haciéndole creer que debe arreglar o hacer algo. Siguiendo un par de indicaciones, los usuarios, sin querer, se vuelven cómplices o amenazas internas.
Y no es nada nuevo, hay que aclararlo: las últimas tendencias de ingeniería social apuntan exactamente a facilitar el acceso a una organización simplemente aprovechando la inocencia o el desconocimiento de un empleado, o pidiéndole que siga un par de instrucciones que para ellos son simples y sencillas.
Es decir, los actores de amenaza hoy en día buscan cómo hacer pasar desapercibido lo malicioso. No se complican mucho en crear herramientas complejas; saben que es muy fácil detectarlos así, por lo que el cebo ahora parece lo más real y benigno posible. Ya no hablamos de promociones hiper-exageradas, sino de cosas que parecen totalmente normales y del día a día, porque así el usuario final bajará la guardia.
Hablamos de un captcha:
Cómo funciona un ataque Clickfix: El peligro del falso captcha
Regresando al Clickfix, es exactamente lo que intenta simular: un captcha, algo tan común del día a día como "escribe estas letras" o "pon esta imagen". Pero ahora la dinámica es: "sigue estas instrucciones, copia, pega y comprueba que eres un humano".Muchas veces pensamos "¿quién caería en esto?", pero en los últimos meses, basado en mi experiencia y en lo que he logrado ver en muchos de los casos generados, el principal vector de acceso inicial sigue siendo el phishing, pero uno más sofisticado y menos llamativo.
Explicando los casos reales de incidentes
Por lo general, los últimos casos de phishing que hemos recibido son clínicamente esta técnica. El usuario se encontraba navegando en páginas que, por lo general, parecen benignas y que usa en su día a día, y de repente ve un captcha con el muy famoso mensaje "comprueba si eres un humano".
Todo normal, ¿cierto? Hasta que no solo es darle clic, sino que también debes seguir ciertas instrucciones: "copia la siguiente frase", presiona Windows + R, pégalas, y de repente tu computadora comienza a realizar peticiones a un servidor de Comando y Control (C2). Este es el Clickfix real que hemos encontrado en varios incidentes de seguridad.
El impacto en la continuidad del negocio y las soluciones de seguridad
Si el equipo cuenta con un EDR avanzado, se logra detener el ataque. Pero, debido a la criticidad del caso, algunos optan por restablecer el equipo, aislarlo y, sin duda, cambiar contraseñas, por lo que la continuidad del negocio se ve afectada, mientras se restablece el equipo y se terminan las tareas de contención y remediación.
Pero, ¿qué pasa si no se cuenta con un agente de seguridad? En estos casos muchas veces no basta con un antivirus tradicional que funcione solo por firmas; si no se tiene un antivirus avanzado(EDR o uno en base a comportamiento o heuristica) , en caso contrario la computadora está infectada y el impacto y alcance son mucho mas grandes.
Y, sí, muchas empresas no cuentan con XDR ni de cerca con un antivirus avanzado. En estos escenarios, la ejecución de la cadena de ataque avanza hasta establecer el C2, descargar el payload malicioso y, por último, realizar una exfiltración de datos.
Origen de la amenaza: Malware as a Service y vulnerabilidades en WordPress
Basado en las investigaciones realizadas, estos ataques se pueden atribuir a plataformas de Malware as a Service (MaaS). También se le ha atribuido el origen a la explotación de una vulnerabilidad en WordPress; gracias a ello, los atacantes infectan las páginas benignas con código malicioso. Esto es conocido comúnmente como XSS (Cross-Site Scripting), pero es cuestión de verificar en cada análisis.
El ecosistema detrás de Clickfix: Lumma Stealer y otras familias de malware
Cuando profundizamos en las investigaciones forenses de estos incidentes, es imposible no toparnos con un nombre que ha resonado con fuerza en los últimos meses: Lumma Stealer (también conocido como LummaC2). Esta familia de infostealers ha sido la principal impulsora y la que más se ha familiarizado con la técnica de Clickfix, utilizándola de forma masiva para recolectar credenciales, cookies de sesión y billeteras de criptomonedas de los usuarios afectados.
Sin embargo, no podemos cometer el error de atribuir este vector de ataque a un solo actor de amenaza. El éxito del falso captcha ha hecho que otras familias de malware adopten exactamente la misma estrategia de infección.
Entre los casos analizados, se ha detectado que esta técnica también está siendo explotada por:
Vidar Stealer / FadeStealer: Variantes que buscan pasar desapercibidas alterando el código que el usuario pega en la consola Windows + R para evadir firmas básicas de antivirus.
NetSupport RAT: En algunos escenarios más críticos, en lugar de un infostealer ligero, el comando ejecuta la descarga de esta herramienta de administración remota legítima, pero modificada con fines maliciosos, permitiendo al atacante el control total del equipo en tiempo real.
Amadey Bot: Utilizado frecuentemente como intermediario en la cadena para asegurar la persistencia en el sistema y facilitar la descarga de payloads mucho más pesados y destructivos.
Esto nos confirma que el Clickfix no es una campaña aislada de un solo grupo, sino una táctica de ingeniería social estandarizada en el modelo de Malware-as-a-Service (MaaS). Si un cebo funciona y logra que el usuario baje la guardia, cualquier variante de malware en el mercado negro intentará subirse a la ola.
La responsabilidad en ciberseguridad: Más allá de las herramientas
Esto nos lleva a algo bastante común en mi experiencia en ciberseguridad: las herramientas de seguridad son buenas y pueden evitar que el impacto y el alcance disminuyan, pero no podemos hacer nada si un usuario deja entrar el malware, aunque tengamos las mejores herramientas de seguridad del mercado.Claro, no es intencional por parte del usuario muchas veces, pero aquí entra nuestra responsabilidad como profesionales:
- ¿Contamos con las herramientas y configuraciones de hardening necesarias?
- ¿Estamos capacitando a los usuarios para que abran los ojos en estos temas (y aún a los que sí son del equipo de TI)?
- ¿Tenemos políticas bien definidas de mínimo privilegio?
Estas acciones proactivas son las que nos ayudan a prevenir que, aun si un malware logra avanzar, el impacto sobre la continuidad del negocio sea el menor posible.
0 Comentarios