Los actores de amenaza detr\u00e1s del Clearfake<\/strong> La campa\u00f1a est\u00e1 utilizando verificaciones falsas de recaptcha o nube de tornas de nubes como se\u00f1uelos para enga\u00f1ar a los usuarios para que descarguen malware como Lumma Stealer y Vidar Stealer.<\/p>\n ClearFake, destacado por primera vez en julio de 2023, es el nombre dado a un cl\u00faster de actividad de amenaza que emplea cebos de actualizaci\u00f3n del navegador web falso<\/a> en WordPress comprometido como un vector de distribuci\u00f3n de malware.<\/p>\n La campa\u00f1a tambi\u00e9n es conocida por confiar en otra t\u00e9cnica conocida como Etherhiding para obtener la carga \u00fatil de la pr\u00f3xima etapa utilizando los contratos de la cadena inteligente (BSC) de Binance como una forma de hacer que la cadena de ataque sea m\u00e1s resistente. El objetivo final de estas cadenas de infecci\u00f3n es entregar malware que roba informaci\u00f3n capaz de dirigirse a los sistemas Windows y MacOS.<\/p>\n A partir de mayo de 2024, los ataques ClearFake han adoptado lo que ya se ha conocido como ClickFix, un estratagema de ingenier\u00eda social<\/a> Eso implica enga\u00f1ar a los usuarios para ejecutar el c\u00f3digo de PowerShell malicioso bajo la apariencia de abordar un problema t\u00e9cnico inexistente.<\/p>\n “Aunque esta nueva variante ClearFake contin\u00faa dependiendo de la t\u00e9cnica de ethiding y la t\u00e1ctica de clickFix, ha introducido interacciones adicionales con la cadena inteligente de binance”, Sekoia dicho<\/a> En un nuevo an\u00e1lisis.<\/p>\n “Al utilizar las interfaces binarias de aplicaciones de Smart Contract, estas interacciones implican cargar m\u00faltiples c\u00f3digos de JavaScript y recursos adicionales que imprpongan el sistema de la v\u00edctima, as\u00ed como descargar, descifrar y mostrar el se\u00f1uelo de ClickFix”.<\/p>\n La \u00faltima iteraci\u00f3n del marco ClearFake marca una evoluci\u00f3n significativa, adoptando las capacidades de Web3 para resistir el an\u00e1lisis y encriptar el c\u00f3digo HTML relacionado con ClickFix.<\/p>\n El resultado neto es una secuencia de ataque de varias etapas actualizada que se inicia cuando una v\u00edctima visita un sitio comprometido, que luego conduce a la recuperaci\u00f3n de un c\u00f3digo JavaScript intermedio de BSC. El JavaScript cargado es posteriormente responsable de hacer huellas dactilares el sistema y obtener el c\u00f3digo CLICHIX cifrado alojado en las p\u00e1ginas de CloudFlare.<\/p>\n Si la v\u00edctima sigue y ejecuta el comando malicioso de PowerShell, conduce al despliegue del cargador Emmenhtal (tambi\u00e9n conocido como Peaklight) que posteriormente deja caer Lumma Stealer.<\/p>\n Sekoia dijo que observ\u00f3 una cadena alternativa de ataque Clearfake a fines de enero de 2025 que sirvi\u00f3 a un cargador de PowerShell responsable de instalar Vidar Stealer. Hasta el mes pasado, al menos 9.300 sitios web se han infectado con Clearfake.<\/p>\n “El operador ha actualizado constantemente el c\u00f3digo de marco, los se\u00f1uelos y las cargas \u00fatiles distribuidas a diario”, agreg\u00f3. “La ejecuci\u00f3n de ClearFake ahora se basa en m\u00faltiples datos almacenados en la cadena inteligente de Binance, incluido el c\u00f3digo JavaScript, la tecla AES, las URL que alojan archivos HTML y comandos de ClickFix PowerShell”.<\/p>\n “El n\u00famero de sitios web comprometidos por Clearfake sugiere que esta amenaza sigue siendo generalizada y afecta a muchos usuarios en todo el mundo. En julio de 2024, […] Aproximadamente 200,000 usuarios \u00fanicos estaban potencialmente expuestos a los se\u00f1uelos de Clearfake alent\u00e1ndolos a descargar malware “.<\/p>\n El desarrollo se produce cuando se han descubierto m\u00e1s de 100 sitios de concesionario de autom\u00f3viles comprometidos con Se\u00f1uelos de clickfix<\/a> Eso lleva a la implementaci\u00f3n de malware Sectoprat.<\/p>\n “Donde ocurri\u00f3 esta infecci\u00f3n en los concesionarios de autom\u00f3viles no fue en el sitio web del concesionario, sino en un servicio de video de terceros”, “,”, dicho<\/a> El investigador de seguridad Randy McEoin, quien detall\u00f3 algunos de los primeros Clearfake Campa\u00f1as<\/a> en 2023, describiendo el incidente como una instancia de un ataque de la cadena de suministro.<\/p>\n El servicio de video en cuesti\u00f3n es Les Automotive (“IDostream[.]com “), que desde entonces ha eliminado la inyecci\u00f3n maliciosa de JavaScript del sitio.<\/p>\n Los hallazgos tambi\u00e9n coinciden con el descubrimiento de varias campa\u00f1as de phishing que est\u00e1n dise\u00f1adas para empujar a varias familias de malware y realizar la cosecha de credenciales,<\/p>\n A medida que las campa\u00f1as de ingenier\u00eda social contin\u00faan siendo m\u00e1s sofisticadas, es esencial que las organizaciones y las empresas se mantengan a la vanguardia de la curva e implementen la autenticaci\u00f3n s\u00f3lida y los mecanismos de control de acceso contra las t\u00e9cnicas adversas en el medio (AITM) y las t\u00e9cnicas de navegador en el medio (BITM) que permiten a los atacantes acoltar cuentas.<\/p>\n “Un beneficio fundamental de emplear un marco de BITM radica en su capacidad de orientaci\u00f3n r\u00e1pida, lo que le permite llegar a cualquier sitio web en la web en cuesti\u00f3n de segundos y con una configuraci\u00f3n m\u00ednima”, Mandiant propiedad de Google dicho<\/a> En un informe publicado esta semana.<\/p>\n “Una vez que una aplicaci\u00f3n se dirige a trav\u00e9s de una herramienta o marco de BITM, el sitio leg\u00edtimo se sirve a trav\u00e9s de un navegador controlado por el atacante. Esto hace que la distinci\u00f3n entre un sitio leg\u00edtimo y falso excepcionalmente desafiante para una v\u00edctima.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Clearfake-infecta-9300-sitios-utiliza-recaptcha-falso-y-torniquete-para.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n\n