Una nueva evolución en la campaña de ingeniería social ClickFix, que ahora emplea una técnica personalizada de secuestro de DNS para distribuir malware.

Este método de ataque engaña a los usuarios para que ejecuten comandos maliciosos que utilizan búsquedas DNS para obtener la siguiente fase de la infección, permitiendo a los atacantes eludir los métodos tradicionales de detección y mezclarse con el tráfico normal de la red.

Los ataques ClickFix dependen de engañar a los usuarios mediante mensajes de error falsos, como captchas fraudulentos o notificaciones de "soluciona este problema" en sitios web comprometidos.

Estos señuelos convencen a las víctimas de copiar un script específico en su portapapeles y pegarlo en un cuadro de diálogo del sistema simple, como el comando Ejecutar o PowerShell.

Mientras que variantes anteriores, como CrashFix, utilizaban falsos fallos del navegador para crear una sensación de urgencia, esta última iteración se centra en una estrategia de evasión más técnica que involucra el Sistema de Nombres de Dominio (DNS).

Cuando una víctima pega y ejecuta el comando malicioso inicial, el script utiliza cmd.exe para realizar una búsqueda DNS específica contra un servidor externo controlado por el atacante, en lugar del resolvedor de internet predeterminado del sistema.

El script luego analiza el resultado de esta solicitud, filtrando específicamente el campo Name: en la respuesta DNS.

Este campo no contiene un nombre de servidor legítimo, sino que alberga el código para la carga útil de la segunda fase, que se ejecuta inmediatamente en la máquina de la víctima.

Esta técnica transforma el DNS en un canal de preparación ligero. Permite a los atacantes validar que un objetivo está activo antes de entregar los componentes de malware más pesados.

Además, como el tráfico DNS es omnipresente en todas las redes, su uso para el comando y control ayuda a que la actividad maliciosa pase desapercibida sin levantar sospechas.

Investigadores de Microsoft Defender también han observado que, una vez que la segunda fase es activada por la respuesta DNS, la cadena de ataque descarga un archivo ZIP que contiene un paquete Python portable.

El proceso de infección continúa ejecutando un script Python malicioso capaz de realizar reconocimiento del host y del dominio.

Para mantener el acceso al sistema comprometido, el malware establece persistencia dejando caer un archivo VBScript y creando un acceso directo llamado MonitoringService.lnk en la carpeta de Inicio de Windows.

La carga útil final entregada en esta campaña es un Troyano de Acceso Remoto (RAT) identificado como ModeloRAT. Microsoft Defender Antivirus detecta y bloquea esta actividad bajo la firma de amenaza Trojan:Win32/ClickFix.R!ml.