Una sofisticada campaña de ingeniería social está atacando a usuarios de Windows mediante páginas falsas de verificación CAPTCHA para distribuir el malware StealC, un ladrón de información. El ataque comienza cuando las víctimas visitan sitios web comprometidos que muestran comprobaciones de seguridad fraudulentas de Cloudflare, engañándolas para que ejecuten comandos maliciosos de PowerShell. 

Una sofisticada campaña de ingeniería social está atacando a usuarios de Windows mediante páginas falsas de verificación CAPTCHA para distribuir el malware StealC, un ladrón de información.

El ataque comienza cuando las víctimas visitan sitios web comprometidos que muestran comprobaciones de seguridad fraudulentas de Cloudflare, engañándolas para que ejecuten comandos maliciosos de PowerShell.

Esta campaña representa una peligrosa evolución en las tácticas del cibercrimen, combinando manipulación psicológica con métodos avanzados de evasión técnica para robar datos sensibles.

El ataque empieza con sitios web aparentemente legítimos que han sido comprometidos por actores maliciosos. Cuando los usuarios visitan estos sitios, un JavaScript malicioso carga una página falsa de CAPTCHA que imita el sistema de verificación de Cloudflare.

La página instruye a las víctimas para que presionen Tecla de Windows + R, luego Ctrl + V para pegar un comando oculto y, finalmente, Enter para ejecutarlo. Esta técnica, conocida como ClickFix, explota la confianza del usuario, haciendo que las víctimas crean que están completando una verificación de seguridad rutinaria cuando en realidad están lanzando malware.

Investigadores de LevelBlue identificaron esta cadena de ataque de múltiples etapas, que descarga shellcode independiente de la posición, carga reflectivamente un descargador PE de 64 bits e inyecta el malware StealC en procesos legítimos de Windows.

El ladrón de información apunta a credenciales de navegadores como Chrome, Edge, Firefox y otros, extensiones de carteras de criptomonedas como MetaMask y Coinbase Wallet, archivos de autenticación de cuentas de Steam, credenciales de correo electrónico de Outlook e información del sistema junto con capturas de pantalla.

Cadena de infección y tácticas de evasión

El malware emplea técnicas de ejecución sin archivos que operan completamente en memoria sin escribir archivos en el disco, lo que hace extremadamente difícil su detección.

Tras ejecutarse el comando inicial de PowerShell, este se conecta a un servidor remoto para descargar shellcode generado con el marco Donut.

Este shellcode carga un descargador PE personalizado compilado con Microsoft Visual C++ que recupera la carga final de StealC e la inyecta en svchost.exe, un proceso legítimo de servicio de Windows.

StealC se comunica con su servidor de comando y control mediante tráfico HTTP cifrado con codificación Base64 y RC4.

El malware utiliza doble ofuscación de cadenas para ocultar datos críticos de configuración, incluyendo URLs de servidores C2, rutas de archivos objetivo y consultas a bases de datos.

Las organizaciones deberían monitorear cadenas de User-Agent sospechosas como “Loader”, marcar la ejecución de PowerShell con comandos codificados, detectar patrones de VirtualAlloc y CreateThread que indiquen inyección de shellcode, y alertar sobre accesos inusuales a bases de datos de credenciales de navegadores.