El Centro de Ciberseguridad Australiano (ACSC) está advirtiendo a las organizaciones sobre una campaña de malware en curso que utiliza la técnica de ingeniería social ClickFix para distribuir el malware de robo de información Vidar Stealer.

ClickFix es una técnica de ataque de ingeniería social que engaña a los usuarios para que ejecuten comandos maliciosos, generalmente a través de CAPTCHA falsos o avisos de verificación del navegador mostrados en sitios web comprometidos o maliciosos.

El ataque normalmente engaña a los usuarios para que ejecuten comandos de PowerShell para eludir los controles de seguridad y entregar malware, generalmente info-stealers.

Organizaciones e entidades de infraestructura australianas están siendo el objetivo de ataques que implican sitios web de WordPress comprometidos que redirigen a cargas útiles maliciosas.

A los usuarios que visitan estos sitios se les muestra una verificación falsa de Cloudflare o un aviso de CAPTCHA que les indica que copien y ejecuten manualmente un comando de PowerShell malicioso en su sistema, lo que conduce a una infección de Vidar Stealer.

“El Centro de Ciberseguridad Australiano de la Dirección de Señales Australiana (ASD's ACSC) ha observado actividad asociada a ClickFix que aprovecha la infraestructura alojada en WordPress para distribuir el malware Vidar Stealer”, dice el aviso de la agencia [http://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/clickfix-distributing-vidar-stealer-via-wordpress-targeting-australian-infrastructure].

Vidar Stealer es una familia de malware de robo de información y una operación de malware como servicio (MaaS) que surgió a finales de 2018.

Gradualmente se convirtió en una opción popular entre los ciberdelincuentes por su rentabilidad, facilidad de despliegue y amplias capacidades de robo de datos. Se dirige a contraseñas del navegador, cookies, monederos de criptomonedas, información de autocompletado y detalles del sistema.

Se ha observado en ataques de ClickFix, promocionados a través de correcciones de Windows, videos de TikTok y GitHub. El año pasado, el desarrollador lanzó una nueva versión con capacidades mejoradas.

El ACSC señala que Vidar elimina su ejecutable después de iniciarse en el dispositivo infectado y luego opera desde la memoria del sistema, reduciendo los artefactos forenses.

Recupera una dirección de comando y control (C2) a través de URLs de “punto muerto” utilizando servicios públicos como bots de Telegram y perfiles de Steam, una táctica que se ha utilizado ampliamente en el pasado pero que sigue siendo efectiva.

El ACSC recomienda que las organizaciones restrinjan la ejecución de PowerShell e implementen listas blancas de aplicaciones para reducir el riesgo de estos ataques.

También se aconseja a los administradores de sitios de WordPress que apliquen las actualizaciones de seguridad disponibles para temas y complementos, y que eliminen cualquier tema o plugin no utilizado de sus plataformas.

El boletín de seguridad del ACSC proporciona indicadores de compromiso (IoCs) para estos ataques, lo que permite a las organizaciones configurar defensas o detectar intrusiones.

Fuente:
BleepingComputer