Una utilidad de Windows con décadas de antigüedad está detrás del moderno ataque ClickFix

Una nueva cam­pa­ña ma­li­cio­sa de tipo Click­Fix uti­li­za una he­rra­mien­ta clá­si­ca de Win­dows para eje­cu­tar co­man­dos que in­fec­tan los equi­pos de los usua­rios con soft­wa­re de robo de in­for­ma­ción y he­rra­mien­tas de ad­mi­nis­tra­ción re­mo­ta. La ame­na­za co­mien­za cuan­do las per­so­nas hacen clic en un re­sul­ta­do de bús­que­da pa­tro­ci­na­do re­la­cio­na­do con un ne­go­cio de co­mer­cio elec­tró­ni­co, el cual re­di­ri­ge a una pá­gi­na de au­ten­ti­ca­ción falsa que imita a dicha pla­ta­for­ma e in­clu­ye un de­sa­fío falso de ve­ri­fi­ca­ción.

Al in­ter­ac­tuar con esta ve­ri­fi­ca­ción falsa, el pro­ce­so re­cu­rre a una an­ti­gua uti­li­dad na­ti­va de Win­dows que opera como un bi­na­rio le­gí­ti­mo apro­ve­cha­do por los ata­can­tes. Este com­po­nen­te ac­ti­va una serie de pasos com­ple­jos que cul­mi­nan en la des­car­ga de di­ver­sos ele­men­tos ma­li­cio­sos, in­clu­yen­do una ver­sión no ofi­cial de una he­rra­mien­ta de con­trol re­mo­to y un pro­gra­ma di­se­ña­do para sus­traer datos per­so­na­les. El anun­cio ma­li­cio­so fue lo­ca­li­za­do en un do­mi­nio vin­cu­la­do a una di­rec­ción web de al­ma­ce­na­mien­to en la nube, y aun­que el ser­vi­cio de bús­que­da re­ti­ró el anun­cio ini­cial, la in­fra­es­truc­tu­ra de los ata­can­tes con­ti­núa ac­ti­va uti­li­zan­do otros nom­bres de do­mi­nio.

Esta va­rian­te se di­fe­ren­cia de otras agre­sio­nes si­mi­la­res por la com­ple­ji­dad en su ca­de­na de eje­cu­ción, ya que el uso de la he­rra­mien­ta clá­si­ca per­mi­te re­cu­pe­rar un ar­chi­vo de texto re­mo­to, ins­ta­lar com­po­nen­tes adi­cio­na­les y ocul­tar he­rra­mien­tas de ges­tión sin le­van­tar sos­pe­chas ini­cia­les. Los ex­per­tos se­ña­lan que el apro­ve­cha­mien­to de este re­cur­so an­ti­guo ofre­ce ven­ta­jas de eva­sión, dado que las he­rra­mien­tas de se­gu­ri­dad de red sue­len ig­no­rar o pasar por alto el trá­fi­co de ese puer­to por con­si­de­rar­lo poco ha­bi­tual, lo que fa­ci­li­ta la in­fec­ción con di­ver­sos tipos de pro­gra­mas ma­lin­ten­cio­na­dos.