Los delincuentes convierten un dominio de marcador de posición en una trampa de ClickFix.

Un dominio que ha aparecido durante mucho tiempo en la documentación del software, los ejemplos de código y el material de prueba para desarrolladores ahora se está utilizando para impulsar un ataque ClickFix contra Windows usuarios.

Un dominio de marcador de posición sustituye a un sitio web en un ejemplo. El más conocido es probablemente example.com. Otro, third-party[.]com, se ha utilizado con frecuencia en la documentación para representar un sitio web externo, una API o un servicio.

Sin embargo, existe una diferencia muy importante entre ambos: example.com está reservado para documentación, mientras que third-party[.]com Es un dominio común y corriente. Cualquiera podía registrarlo, y alguien lo hizo. Ahora, todos los documentos, pruebas y habilidades que lo incorporan dirigen a los lectores y usuarios a la infraestructura del atacante.

Investigadores de Manifold Security descubrieron eso third-party[.]com estaba sirviendo una página de verificación falsa al estilo Cloudflare a Windows visitantes. La página intenta persuadirlos para que abran la Windows Ejecuta el cuadro y pega un comando que haya copiado en su portapapeles. Este comando está diseñado para descargar y ejecutar un PowerShell script. En el momento de escribir esto, el dominio que aloja el script no se está resolviendo.

ClickFix es una técnica de ingeniería social que convierte a la víctima en el instalador del malware.

En lugar de recurrir a un archivo adjunto malicioso o a la descarga de un ejecutable obvio, el atacante convence a la víctima para que ejecute un comando por sí misma. Algunos señuelos comunes incluyen:

• Un CAPTCHA falso o una comprobación de Cloudflare Turntile falsa.
• Un error del navegador que indica que necesita una "solución manual".
• Un reproductor de vídeo, un visor de documentos o una descarga de software popular fraudulentos.
• Una página de soporte fraudulenta que le indica al visitante que pegue un comando en Ejecutar, Símbolo del sistema, Terminal o PowerShell.

ClickFix funciona porque el comando a menudo utiliza información legítima. Windows o Mac Herramientas para descargar y ejecutar la siguiente etapa. También se ejecuta con los permisos de la persona que ha sido convencida para entrar.

Las consecuencias pueden variar desde el robo de información hasta un compromiso más grave de la red de una empresa. En una campaña reciente llamada TerminalFix , un CAPTCHA falso de Cloudflare llevó a las víctimas a pegar un comando de PowerShell en Windows Terminal o PowerShell.

Cómo mantenerse a salvo

Dado que ClickFix está proliferando sin control —y no parece que vaya a desaparecer pronto— es importante estar informado, ser precavido y estar protegido.

• Tómate tu tiempo. Desconfía de las páginas web que te instan a ejecutar comandos en tu dispositivo, especialmente si utilizan una cuenta regresiva u otras tácticas de presión.
• No ejecute comandos ni scripts de fuentes no confiables. Nunca ejecute código ni comandos copiados de sitios web, correos electrónicos o mensajes, a menos que confíe en la fuente y comprenda el propósito de la acción. Verifique las instrucciones de forma independiente. Si un sitio web le indica que ejecute un comando o realice una acción técnica, consulte la documentación oficial o póngase en contacto con el soporte técnico antes de continuar.
• Comprueba lo que estás pegando. Es posible que un sitio web copie un comando al portapapeles sin mostrarte el texto completo. No lo pegues en una ventana de comandos.
• Protege tu dispositivo. Utilice una versión actualizada y en tiempo real. solución antimalware con un componente de protección web.
  
• Infórmese sobre las técnicas de ataque en constante evolución. Comprender que los ataques pueden provenir de vectores inesperados y evolucionar ayuda a mantener la vigilancia. ¡Siga leyendo nuestro blog!

Consejo práctico: La extensión gratuita Malwarebytes Browser Guard te avisa cuando un sitio web intenta copiar algo al portapapeles.

Detén las amenazas antes de que puedan causar daño.

Malwarebytes Browser Guard Bloquea automáticamente las páginas de phishing y los sitios maliciosos. Gratis, instalación con un solo clic. Añádelo a tu navegador →