Microsoft ha arrojado luz sobre una campa\u00f1a de phishing en curso que se dirigi\u00f3 al sector de la hospitalidad al hacerse pasar por la agencia de viajes en l\u00ednea Booking.com utilizando una t\u00e9cnica de ingenier\u00eda social cada vez m\u00e1s popular llamada ClickFix para ofrecer malware de robo de credenciales.<\/p>\n
La actividad, dijo el gigante tecnol\u00f3gico, comenz\u00f3 en diciembre de 2024 y opera con el objetivo final de realizar fraude financiero y robo. Est\u00e1 rastreando la campa\u00f1a bajo el apodo Tormenta-1865<\/strong>.<\/p>\n “Este ataque de phishing se dirige espec\u00edficamente a las personas en organizaciones de hospitalidad en Am\u00e9rica del Norte, Ocean\u00eda, sur y sudeste de Asia, y el norte, sur, oriental y oeste de Europa, que tienen m\u00e1s probabilidades de trabajar con Booking.com, enviando correos electr\u00f3nicos falsos que pretenden provenir de la agencia”, Microsoft “, Microsoft dicho<\/a> En un informe compartido con The Hacker News.<\/p>\n La t\u00e9cnica ClickFix se ha extendido en los \u00faltimos meses, ya que enga\u00f1a a los usuarios para que ejecute malware bajo la apariencia de arreglar un error supuesto (es decir, inexistente) copiando, pegando y lanzando instrucciones enga\u00f1osas que activan el proceso de infecci\u00f3n. Se detect\u00f3 por primera vez en la naturaleza en octubre de 2023.<\/p>\n La secuencia de ataque comienza con Storm-1865 enviando un correo electr\u00f3nico malicioso a un individuo objetivo sobre una revisi\u00f3n negativa dejada por un supuesto invitado en Booking.com, y pidi\u00e9ndoles sus “comentarios”. El mensaje tambi\u00e9n incorpora un enlace, o un archivo adjunto PDF que contiene uno que aparentemente dirige a los destinatarios al sitio de reserva.<\/p>\n Sin embargo, en realidad, hacer clic en \u00e9l lleva a la v\u00edctima a una p\u00e1gina de verificaci\u00f3n Captcha falsa que se superpone en un “fondo sutilmente visible dise\u00f1ado para imitar una p\u00e1gina leg\u00edtima de Booking.com”. Al hacerlo, la idea es prestar una falsa sensaci\u00f3n de seguridad y aumentar la probabilidad de un compromiso exitoso.<\/p>\n “El Captcha falso es donde la p\u00e1gina web emplea la t\u00e9cnica de ingenier\u00eda social ClickFix para descargar la carga \u00fatil maliciosa”, dijo Microsoft. “Esta t\u00e9cnica instruye al usuario que use un atajo de teclado para abrir una ventana de ejecuci\u00f3n de Windows, luego pegue y inicie un comando que la p\u00e1gina web agrega al portapapeles”.<\/p>\n El comando, en pocas palabras, utiliza el binario leg\u00edtimo MSHTA.EXE para soltar la carga \u00fatil de la pr\u00f3xima etapa, que comprende varias familias de malware de productos b\u00e1sicos como Xworm, Lumma Stealer, Venomrat, Asyncrat, Danabot y NetSupport Rat.<\/p>\n Redmond dijo que previamente observ\u00f3 a los compradores Storm-1865 dirigidos a los compradores que utilizan plataformas de comercio electr\u00f3nico con mensajes de phishing que conducen a p\u00e1ginas web de pago fraudulentas. La incorporaci\u00f3n de la t\u00e9cnica ClickFix, por lo tanto, ilustra una evoluci\u00f3n t\u00e1ctica dise\u00f1ada para pasar m\u00e1s all\u00e1 de las medidas de seguridad convencionales contra el phishing y el malware.<\/p>\n “El actor de amenaza que Microsoft rastrea como Storm-1865 encapsula un cl\u00faster de actividad que realiza campa\u00f1as de phishing, lo que lleva al robo de datos de pago y los cargos fraudulentos”, agreg\u00f3.<\/p>\n “Estas campa\u00f1as han estado en curso con un mayor volumen desde al menos a principios de 2023 e involucran mensajes enviados a trav\u00e9s de plataformas de proveedores, como agencias de viajes en l\u00ednea y plataformas de comercio electr\u00f3nico, y servicios de correo electr\u00f3nico, como Gmail o iCloud Mail”.<\/p>\n Storm-1865 representa solo una de las muchas campa\u00f1as que han adoptado ClickFix como vector para la distribuci\u00f3n de malware. Tal es la efectividad de esta t\u00e9cnica que incluso los grupos de estado naci\u00f3n ruso e iran\u00ed como APT28 y Muddywater lo han adoptado para atraer a sus v\u00edctimas.<\/p>\n “En particular, el m\u00e9todo aprovecha el comportamiento humano: al presentar una ‘soluci\u00f3n’ plausible a un problema percibido, los atacantes cambian la carga de la ejecuci\u00f3n al usuario, evitando efectivamente muchas defensas automatizadas”, Group-IBS dicho<\/a> En un informe independiente publicado hoy.<\/p>\n Una de esas campa\u00f1as documentada por la compa\u00f1\u00eda de ciberseguridad de Singapur implica utilizar ClickFix para lanzar un descargador llamado Smokesaber, que luego sirve como un conducto para Lumma Stealer. Otras campa\u00f1as han aprovechado la malvertici\u00f3n, el envenenamiento por SEO, los problemas de GitHub y los foros de spam o sitios de redes sociales con enlaces a las p\u00e1ginas de ClickFix.<\/p>\n “La t\u00e9cnica ClickFix marca una evoluci\u00f3n en las estrategias de ingenier\u00eda social adversa, aprovechando la confianza del usuario y la funcionalidad del navegador para la implementaci\u00f3n de malware”, dijo el grupo-IB. “La r\u00e1pida adopci\u00f3n de este m\u00e9todo por parte de los ciberdelincuentes y los grupos APT subraya su efectividad y baja barrera t\u00e9cnica”.<\/p>\n Algunas de las otras campa\u00f1as de ClickFix que se han documentado se enumeran a continuaci\u00f3n –<\/p>\n Los diversos mecanismos de infecci\u00f3n de Lumma Stealer se ejemplifican a\u00fan m\u00e1s por el descubrimiento de otra campa\u00f1a que utiliza repositorios de GitHub falsos con inteligencia artificial (IA): contenido para entregar el robador a trav\u00e9s de un cargador conocido como SmartLoader.<\/p>\n “Estos repositorios maliciosos se disfrazan de herramientas no maliciosas, incluidos trucos de juegos, software agrietado y utilidades de criptomonedas”, TREND MICRO dicho<\/a> En un an\u00e1lisis publicado a principios de esta semana. “La campa\u00f1a atrae a las v\u00edctimas con promesas de funcionalidad no autorizada gratuita o il\u00edcita, lo que les pide que descarguen archivos ZIP (por ejemplo, versi\u00f3n.zip, software.zip)”.<\/p>\n La operaci\u00f3n sirve para resaltar c\u00f3mo los actores de amenaza est\u00e1n abusando de la confianza asociada con plataformas populares como GitHub para la propagaci\u00f3n de malware.<\/p>\n Los hallazgos se producen cuando Trustwave detall\u00f3 una campa\u00f1a de phishing de correo electr\u00f3nico que hace uso de se\u00f1uelos relacionados con la factura para distribuir una versi\u00f3n actualizada de otro malware de robador llamado Strelastealer, que se eval\u00faa por un solo actor de amenaza denominado Hive0145<\/a>.<\/p>\n “Las muestras de Strelastealers incluyen ofuscaci\u00f3n de m\u00faltiples capas personalizadas y aplanamiento de flujo de c\u00f3digo para complicar su an\u00e1lisis”, la compa\u00f1\u00eda dicho<\/a>. “Se ha informado que el actor de amenaza desarroll\u00f3 potencialmente un crypter especializado llamado ‘cargador estelar’, espec\u00edficamente, para ser utilizado con el strelastealer”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Microsoft-advierte-sobre-la-campana-de-phishing-de-clickfix-dirigida.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n