La campaña «ClickFix» afecta a 31 organizaciones y hace un uso indebido de la cadena de bloques Polygon

Una cam­pa­ña de ata­ques co­no­ci­da como Click­Fix ha afec­ta­do al menos a trein­ta y una or­ga­ni­za­cio­nes de di­ver­sos sec­to­res, em­plean­do una téc­ni­ca de­no­mi­na­da EtherHi­ding para ocul­tar y au­to­ma­ti­zar sus ac­cio­nes ma­li­cio­sas. Este mé­to­do uti­li­za la ca­de­na de blo­ques de Poly­gon para ac­tua­li­zar de ma­ne­ra di­ná­mi­ca sus ser­vi­do­res de co­man­do y con­trol, fun­cio­nan­do como una li­bre­ta de di­rec­cio­nes bajo el con­trol de los ata­can­tes y evi­tan­do que el blo­queo de un do­mi­nio o di­rec­ción IP de­ten­ga per­ma­nen­te­men­te el ac­ce­so.

A di­fe­ren­cia de ope­ra­ti­vos si­mi­la­res, esta cam­pa­ña se dis­tin­gue por el uso de con­tra­tos in­te­li­gen­tes en Poly­gon, la in­yec­ción de có­di­go Ja­vaS­cript ma­li­cio­so que abusa de la ve­ri­fi­ca­ción hu­ma­na de Cloud­Fla­re me­dian­te en­ve­ne­na­mien­to de mo­to­res de bús­que­da, y la des­car­ga de un "drop­per" que ins­ta­la un agen­te de co­man­do y con­trol con per­sis­ten­cia. Los ata­can­tes com­pro­me­ten pri­me­ro los si­tios web de las em­pre­sas para mos­trar el en­ga­ño y luego afec­tan a los usua­rios fi­na­les que na­ve­gan por di­chos si­tios, los cua­les son in­du­ci­dos a eje­cu­tar co­man­dos en su pro­pio equi­po.

Para hacer fren­te a esta ame­na­za, los es­pe­cia­lis­tas re­co­mien­dan im­ple­men­tar ca­pa­ci­ta­ción avan­za­da en con­cien­ti­za­ción sobre in­ge­nie­ría so­cial y téc­ni­cas como Click­Fix, orien­ta­da al fac­tor hu­mano con­si­de­ra­do el punto más vul­ne­ra­ble. Asi­mis­mo, se acon­se­ja com­bi­nar estas me­di­das con con­tro­les tec­no­ló­gi­cos, tales como la prohi­bi­ción de con­sul­tar pun­tos de co­ne­xión de ca­de­nas de blo­ques desde equi­pos cor­po­ra­ti­vos y la ha­bi­li­ta­ción de re­gis­tros y aler­tas en Po­werShell para iden­ti­fi­car scripts ma­li­cio­sos.