ClickFix Smuggles Payloads Through Browser Cache to Bypass Windows Run Limits

Una nueva mo­da­li­dad de ata­que ba­sa­da en la téc­ni­ca Click­Fix uti­li­za si­tios web com­pro­me­ti­dos para en­ga­ñar a los usua­rios con el fin de que eje­cu­ten un script ma­li­cio­so pre­via­men­te guar­da­do en la me­mo­ria caché del na­ve­ga­dor de ma­ne­ra ocul­ta, si­mu­lan­do ser un ar­chi­vo de ima­gen. De este modo, al pegar y eje­cu­tar el co­man­do ma­li­cio­so su­ge­ri­do, el dis­po­si­ti­vo ac­ti­va el con­te­ni­do que ya se en­cuen­tra al­ma­ce­na­do lo­cal­men­te. Esta es­tra­te­gia de con­tra­ban­do en la caché per­mi­te a los ata­can­tes ocul­tar el script y elu­dir las res­tric­cio­nes de ca­rac­te­res del cua­dro de diá­lo­go de eje­cu­ción de Win­dows, el cual trun­ca las en­tra­das que su­pe­ran una de­ter­mi­na­da lon­gi­tud.

En la ca­de­na de in­fec­ción de­tec­ta­da, el script al­ma­ce­na­do uti­li­za he­rra­mien­tas del sis­te­ma para bus­car per­fi­les es­pe­cí­fi­cos de na­ve­ga­do­res, lo­ca­li­zar el ar­chi­vo co­rres­pon­dien­te me­dian­te la com­pa­ra­ción de su ta­ma­ño y otor­gar­le una ex­ten­sión de Vi­sual Basic Script para eje­cu­tar­lo de forma si­len­cio­sa. Pos­te­rior­men­te, este com­po­nen­te re­co­pi­la in­for­ma­ción del equi­po, des­car­ga scripts adi­cio­na­les a tra­vés de ser­vi­do­res ex­ter­nos y fa­ci­li­ta la eje­cu­ción de car­gas in­ter­me­dias que ope­ran en ven­ta­nas ocul­tas. El pro­ce­so cul­mi­na con la in­yec­ción de có­di­go en pro­ce­sos le­gí­ti­mos de Win­dows con el pro­pó­si­to de com­pro­me­ter cre­den­cia­les tanto de na­ve­ga­do­res como del pro­pio dis­po­si­ti­vo.

La téc­ni­ca de in­ge­nie­ría so­cial co­no­ci­da como Click­Fix ha ga­na­do una gran po­pu­la­ri­dad de­bi­do a que con­vier­te a la pro­pia víc­ti­ma en un canal de dis­tri­bu­ción para la eje­cu­ción de malwa­re. Di­ver­sos ac­to­res ma­li­cio­sos, in­clui­dos gru­pos pa­tro­ci­na­dos por es­ta­dos y ci­ber­de­lin­cuen­tes, apro­ve­chan si­tua­cio­nes co­ti­dia­nas como erro­res téc­ni­cos, ac­tua­li­za­cio­nes de na­ve­ga­dor o ve­ri­fi­ca­cio­nes fal­sas de CAPTCHA para per­sua­dir a los usua­rios de eje­cu­tar co­man­dos me­dian­te he­rra­mien­tas le­gí­ti­mas y con­fia­bles del sis­te­ma ope­ra­ti­vo, como la con­so­la o uti­li­da­des de eje­cu­ción.