Se ha descubierto una nueva campaña de troyanos botnet, denominada OCRFix, que combina trucos de ingeniería social con una infraestructura de comandos basada en blockchain para construir silenciosamente una red de máquinas comprometidas. La campaña fusiona la conocida técnica de phishing ClickFix con EtherHiding —un método que almacena instrucciones del atacante directamente en una blockchain pública, haciendo que los desmantelamientos sean casi imposibles—. 

Se ha descubierto una nueva campaña de troyano botnet, denominada OCRFix, que combina trucos de ingeniería social con una infraestructura de comandos basada en blockchain para construir silenciosamente una red de máquinas comprometidas.

La campaña mezcla la conocida técnica de phishing ClickFix con EtherHiding, un método que almacena instrucciones de los atacantes directamente en una blockchain pública, haciendo que su eliminación sea casi imposible.

El ataque comienza con un sitio web de typosquatting que imita tesseract-ocr[.]com, una falsa réplica convincente de la herramienta legítima de reconocimiento óptico de caracteres (OCR) de código abierto, Tesseract OCR.

Como el proyecto real de Tesseract está alojado en GitHub y no tiene su propio sitio web, se convirtió en un objetivo fácil para la suplantación de dominio.

Además del envenenamiento SEO tradicional, la campaña también empleó envenenamiento de LLM, donde se observó que el chatbot ChatGPT recomendaba activamente el sitio malicioso a usuarios desprevenidos.

Un video de YouTube encontrado durante la investigación también parecía promover estas instrucciones fraudulentas.

Los analistas de Cyjax, que identificaron por primera vez la campaña durante un monitoreo rutinario de amenazas, observaron que el sitio de phishing mostraba a los visitantes un falso mensaje de CAPTCHA.

Una vez que el usuario hacía clic en "verificar", un comando de PowerShell fuertemente ofuscado se copiaba silenciosamente en su portapapeles.

Luego, la página le indicaba al usuario que abriera Windows PowerShell y lo pegara, presentando esto como un paso normal de verificación.

En realidad, el comando se decodificaba y se conectaba a un servidor en opsecdefcloud[.]com, descargando un archivo MSI malicioso (98166e51.msi) que iniciaba la cadena de infección.

Después del ataque, las víctimas eran redirigidas silenciosamente a la página real de Tesseract en GitHub, por lo que todo parecía normal.

Una vez ejecutado el archivo MSI, el malware se desplegaba en tres etapas. La primera, Update

Fuentes:
https://cybersecuritynews.com/ocrfix-botnet-trojan-leveraging-clickfix-phishing-and-etherhiding/