**Evolución de las Tácticas de ClickFix en Ataques Cibernéticos: Un Análisis Profundo**
La ciberseguridad es un campo en constante evolución, y los ataques basados en ingeniería social, como el ClickFix, han cobrado gran relevancia en los últimos años. Esta técnica se apoya en la confianza que los usuarios depositan en la tecnología y en su tendencia natural a resolver problemas. En un contexto donde las amenazas cibernéticas son cada vez más sofisticadas, entender cómo operan estas tácticas es crucial para proteger tanto a usuarios individuales como a empresas. La importancia de este tema se extiende a todos aquellos que interactúan con la tecnología, desde empleados hasta directivos, ya que un ataque exitoso puede comprometer datos sensibles y alterar la operativa de una organización.
ClickFix se caracteriza por presentar a las víctimas un problema técnico ficticio o un mensaje de verificación que les incita a ejecutar un comando que, en muchas ocasiones, ya ha sido copiado a su portapapeles. Este tipo de ataque puede manifestarse de diversas maneras, como a través de un CAPTCHA falso o un enlace a una supuesta llamada de Zoom que requiere una actualización para "solucionar" un problema técnico. En cualquier caso, el método casi siempre implica pegar código en herramientas como Windows Run, PowerShell o Terminal de MacOS.
Un análisis reciente de la firma Flare, presentado por el investigador Assaf Morag, revela cómo los atacantes han comenzado a modificar sus tácticas de ClickFix para ocultar sus cargas útiles hasta que la víctima ya ha realizado la acción de confianza. En un caso específico, se identificó una campaña que utilizaba CrocoRat, un troyano de acceso remoto (RAT) y ladrón de criptomonedas. Flare detectó esta campaña a través de un dominio deliberadamente mal escrito que mostraba un diagrama de cableado difuminado. Sin embargo, los investigadores no pudieron determinar cómo los usuarios fueron dirigidos a esta página en primer lugar.
Una vez que el usuario accede a esta página, que presumiblemente fue enviada a través de un correo electrónico o un sitio web malicioso, se le presenta un cuadro de verificación reCAPTCHA falso junto a un logo de Cloudflare suplantado. Las instrucciones típicas de ClickFix, que indican "abrir PowerShell y pegar el texto", acompañan a esta trampa. Sin embargo, en lugar de recuperar directamente la carga útil de la siguiente etapa, el comando PowerShell que se pega consulta un registro DNS TXT a través de un servidor DNS controlado por el atacante. Este registro, a su vez, proporciona la siguiente instrucción de PowerShell, indicando al sistema el próximo paso a seguir. Este enfoque es astuto, ya que permite que la cadena de infección avance un paso más antes de que algunas medidas de defensa tengan suficiente contexto para reconocer lo que está ocurriendo.
Además, Flare descubrió un lanzador de Python no ejecutado en el paquete de malware, lo que sugiere que los desarrolladores estaban experimentando con diferentes estrategias de carga útil dependiendo del entorno de la víctima. Un portavoz de Flare comentó que "el script está diseñado para seleccionar el acceso remoto persistente en sistemas que parecen corporativos, mientras que despliega tanto el RAT como los ladrones de credenciales y criptomonedas en sistemas que parecen personales". Esto insinúa que el operador podría priorizar un acceso más discreto en los objetivos corporativos, limitando potencialmente las actividades de robo que podrían desencadenar detecciones.
Un segundo ejemplo de esta evolución fue reportado por Microsoft Threat Intelligence, que compartió en la plataforma X sus hallazgos relacionados con una campaña de ClickFix que involucraba un "grupo" de sitios web comprometidos. En este caso, el usuario visita un sitio web que pre-carga un script malicioso en la caché del navegador, disfrazado como un archivo PNG. Este proceso ocurre antes de que se le indique al usuario que pegue un código malicioso copiado al portapapeles. Cuando el usuario, finalmente, es engañado para ejecutar el comando malicioso, el contenido de la caché ya está en el dispositivo, cargado y listo para ser ejecutado. Este método ayuda a ocultar el script de carga útil y facilita eludir el límite de caracteres del cuadro de diálogo de ejecución.
Microsoft destacó en su publicación que su herramienta Microsoft Defender protege contra elementos a lo largo de la cadena de ataque de ClickFix y recomienda a los usuarios implementar herramientas de protección de seguridad en la web y la red, control de aplicaciones y registro de bloqueo de scripts de PowerShell. Por su parte, el blog de Flare incluye detecciones específicas para CrocoRat, pero Morag también enfatizó la importancia de la prevención en los ataques de ClickFix, indicando que "el control más efectivo es reducir la posibilidad de que un comando copiado sea ejecutado".
Las organizaciones deben capacitar a sus usuarios sobre patrones específicos de ClickFix: páginas CAPTCHA falsas, "presionar Windows+R", "pegar este comando" y mensajes de "verificación fallida". Además, las medidas técnicas deberían restringir o alertar sobre patrones de ejecución de portapapeles a Run cuando sea posible, endurecer el registro de PowerShell, habilitar el registro de bloqueo de scripts y aplicar reglas de control de aplicaciones que impidan que los intérpretes se ejecuten desde directorios escribibles.
Los ataques ClickFix son complejos y omnipresentes, pero, hasta la fecha, siguen en gran medida patrones similares desde la perspectiva de la ingeniería social. Esta consistencia hace que la técnica sea útil para la formación en concienciación de los usuarios. En cuanto a la dirección futura de esta técnica, Flare sugiere que campañas como CrocoRat indican que ClickFix seguirá evolucionando a través de señuelos convincentes, comandos que parecen familiares y instrucciones de siguiente etapa ocultas. "Sin especular sobre métodos específicos que podrían dar ideas a los atacantes, espero que más actores de amenazas adapten este vector de ataque con sus propias variaciones", concluyó el portavoz.