La campaña comienza cuando las víctimas se encuentran con cebos convincentes, que incluyen pantallas falsas de verificación de robots y notificaciones realistas de Windows Update. Estas páginas instruyen a los usuarios para que presionen Win+R para abrir el cuadro de ejecutar, y luego peguen un comando que se ha copiado automáticamente en su portapapeles. Una vez ejecutado, este comando inicial inicia una peligrosa cadena de eventos que finalmente entrega malware al sistema de destino. 

  Los analistas e investigadores de Huntress identificaron el malware surgiendo en octubre de 2025, con campañas evolucionando a través de dos variantes distintas. Los cebos iniciales de "Verificación humana" han sido eclipsados por pantallas falsas más nuevas y convincentes de Windows Update que imitan las actualizaciones legítimas de Microsoft en modo de pantalla completa, completas con animaciones realistas de "Trabajando en actualizaciones" antes de solicitar la ejecución del comando ClickFix.

Ocultamiento esteganográfico de la carga útil

El aspecto más notable de esta campaña es cómo los actores de amenazas ocultan sus etapas finales de malware. En lugar de adjuntar datos maliciosos a las imágenes, los atacantes utilizan un algoritmo esteganográfico personalizado para codificar shellcode directamente dentro de los datos de píxeles de las imágenes PNG. Esta técnica se basa en canales de color específicos, particularmente el canal rojo, para reconstruir y descifrar la carga útil por completo en la memoria.

  El mecanismo de infección comienza con un comando mshta.exe que contiene una dirección IP codificada en hexadecimal en su segundo octeto. Esto desencadena un cargador de PowerShell que descifra dinámicamente y carga de forma reflectante un ensamblaje .NET. Este ensamblaje actúa como un cargador esteganográfico, extrayendo shellcode oculto dentro de una imagen PNG cifrada integrada como un recurso de manifiesto. El proceso de extracción utiliza los datos de píxeles brutos del mapa de bits, calculando desplazamientos para cada fila y columna, y luego aplica XOR al valor del canal rojo con 114 para recuperar los bytes de shellcode cifrados. El shellcode extraído se empaqueta usando Donut, un empaquetador de shellcode que permite la ejecución de ensamblajes .NET en la memoria. 

  Los investigadores de Huntress documentaron que las cargas útiles finales entregadas a través de este mecanismo incluyen malware para el robo de información como LummaC2 y Rhadamanthys, diseñados para recopilar credenciales de usuario confidenciales e información financiera. Esta campaña demuestra cómo los actores de amenazas continúan innovando sus capacidades de evasión de detección. Al ocultar las cargas útiles dentro de los datos de píxeles de las imágenes en lugar de las estructuras de archivos tradicionales, los atacantes complican el análisis y evaden los sistemas de detección basados en firmas. Sin embargo, el ataque aún depende de la debilidad fundamental de la ingeniería social: convencer a los usuarios de que ejecuten comandos manualmente. Las organizaciones deben priorizar la capacitación de concienciación de los usuarios y considerar deshabilitar el cuadro de ejecutar de Windows mediante modificaciones del registro o Directiva de grupo para evitar que este vector de ataque tenga éxito.

Fuentes:
https://cybersecuritynews.com/hackers-using-clickfix-technique/