Se ha detectado una nueva y sofisticada campaña de malware llamada ClearFake, la cual utiliza contratos inteligentes de blockchain para gestionar sus operaciones. Al ocultar su infraestructura de comando y control dentro de la red de prueba de BNB Smart Chain, los atacantes logran que sea prácticamente imposible para los equipos de seguridad desactivar el sistema, ya que no dependen de servidores tradicionales que puedan ser desconectados.

Una nueva y peligrosamente astuta campaña de malware llamada ClearFake ha sido detectada utilizando contratos inteligentes de blockchain para ejecutar sus operaciones, lo que hace que sea casi imposible para los equipos de seguridad detenerla.

En lugar de depender de servidores tradicionales que pueden ser desconectados, los atacantes escondieron su infraestructura de comando y control dentro de la red de prueba (testnet) de BNB Smart Chain, una red descentralizada que ninguna autoridad puede incautar o suspender.

ClearFake se propaga comprometiendo sitios web legítimos e inyectando código JavaScript oculto en sus páginas. Tú no necesitas hacer nada sospechoso para infectarte.

El simple hecho de visitar un sitio legítimo manipulado puede activar la cadena de entrega de múltiples etapas del malware. En un caso confirmado, un empleado estaba navegando por un sitio web recreativo en Suiza cuando su máquina fue tomada silenciosamente a través de una secuencia de ataque totalmente automatizada.

Investigadores de Trend Micro analizaron esta intrusión en mayo de 2026 y descubrieron toda la profundidad de la campaña.

Trend Micro afirmó en un informe que los actores de amenazas utilizaron una técnica llamada EtherHiding para almacenar instrucciones de enrutamiento de la carga útil dentro de contratos inteligentes de blockchain, eludiendo por completo todos los métodos de bloqueo basados en URL.

La cadena de ataque entregó dos herramientas peligrosas simultáneamente: SectopRAT, un troyano de acceso remoto basado en .NET capaz de secuestrar sesiones de navegador, y ACRStealer, un infostealer de C++ que recolecta contraseñas, números de tarjetas de crédito, cookies y datos de billeteras de criptomonedas.

Las víctimas en Windows y macOS fueron dirigidas a cargas útiles separadas adaptadas a su sistema operativo, con el enrutamiento gestionado por la detección del SO en tiempo real en el navegador.

Lo que hace que esta campaña sea especialmente alarmante es su longevidad confirmada. Se identificaron cuatro contratos inteligentes, todos compartiendo una única billetera de despliegue, y el contrato más antiguo fue desplegado casi un año antes de que se realizara el análisis.

Este no es un experimento aislado. Se trata de una campaña plenamente operativa y de larga duración, diseñada para sobrevivir a cualquier intento de cierre por parte de cualquier autoridad o proveedor de seguridad.

ClearFake utiliza contratos inteligentes de la red de prueba de BSC

La técnica EtherHiding funciona almacenando JavaScript malicioso directamente dentro de un contrato inteligente en la red de prueba de BNB Smart Chain, en lugar de en cualquier host web tradicional.

Cuando una víctima visita un sitio comprometido, el código inyectado consulta silenciosamente la blockchain y recupera la carga útil completa en el navegador sin que intervenga ninguna URL externa.

Dado que los datos de la blockchain se replican simultáneamente en miles de nodos, no hay un servidor que derribar, ningún dominio que incautar y ninguna dirección IP que bloquear.

ClearFake perfeccionó esta técnica almacenando el JavaScript completo en la cadena, en lugar de solo una URL de enrutamiento.

Cuatro contratos desempeñaron funciones distintas: el Contrato Inteligente A entregaba el despachador anti-análisis, el Contrato Inteligente B contenía la superposición ClickFix para Windows, el Contrato Inteligente C contenía la carga útil para macOS, y el Contrato Inteligente D actuaba como un rastreador en la cadena que confirmaba el compromiso de cada víctima en tiempo real.

Operar en la red de prueba también significó que los atacantes no pagaran nada, ya que los tokens de prueba de BNB no tienen valor monetario.

Superposición ClickFix y entrega de carga útil dual

Una vez que la consulta a la blockchain tenía éxito, las víctimas veían una convincente superposición falsa de Google reCAPTCHA, completa con una casilla de "No soy un robot".

Al hacer clic en ella, se activaba el panel de ingeniería social ClickFix, que inyectaba simultáneamente un comando malicioso directamente en el portapapeles de la víctima.

A los usuarios de Windows se les indicaba que abrieran el cuadro de diálogo "Ejecutar" y lo pegaran, cargando una DLL remota en la memoria sin que ningún archivo se escribiera en el disco. Un RAT basado en Python y un cargador de shellcode se instalaron silenciosamente dentro de una carpeta diseñada para imitar un directorio legítimo del cliente FTP FileZilla.

Se recomienda a los equipos de seguridad bloquear el tráfico JSON-RPC saliente hacia los endpoints RPC de la red de prueba de BNB Smart Chain que comiencen con bsc-testnet-rpc.publicnode.com, lo que elimina el paso de consulta al contrato antes de que se ejecute cualquier carga útil.

Desactivar el servicio WebClient de Windows en las estaciones de trabajo que no necesiten WebDAV elimina el mecanismo de entrega del cargador de DLL remota. Las políticas de gestión del navegador que restringen el acceso de escritura al portapapeles pueden interrumpir el paso de ClickFix antes de que la víctima ejecute el comando inyectado.

La capacitación de concienciación del usuario final sobre los falsos CAPTCHA y los señuelos de ClickFix sigue siendo la primera línea de defensa, ya que toda la cadena posterior a la infección requería solo una acción deliberada de la víctima.

---

Figura 1: Diagrama de Ataque (como se referencia en la fuente — Figura 1. Diagrama de Ataque)
Figura 2: Vista del código fuente del sitio web suizo que muestra la inyección del cargador de Etapa 1 de ClearFake
Figura 3: La función load() de Etapa 1 desofuscada, la consulta asíncrona a la blockchain que construye una solicitud JSON-RPC eth_call al Contrato Inteligente A en la red de prueba de BSC
Figura 4: JavaScript bruto de Etapa 2 tal como se almacena en el Contrato Inteligente A
Figura 5: La superposición de ingeniería social ClickFix renderizada en el navegador de la víctima
Figura 6: Perfil de ejecución de TrendAI Vision One que muestra la ruta de entrega de la carga útil
Figura 7: Perfil de ejecución de TrendAI Vision One que muestra a rundll32.exe iniciando dllhost.exe e inyectando hilos remotos en chrome.exe y msedge.exe para el robo de credenciales del navegador
Figura 8: Perfil de ejecución de TrendAI Vision One que muestra a dllhost.exe soltando pythonw.exe (un intérprete de Python silencioso) y helper.py (cargador de shellcode) en el directorio de Datos de FileZilla
Figura 9: Transacción addToList() decodificada por ABI en el Contrato Inteligente D, la confirmación de ejecución en la cadena escrita por el actor de la amenaza

---

Indicadores de Compromiso (IoCs)

Tipo	Indicador	Descripción
Dirección Blockchain	0xAdecFB75C8C0CA2b C105 17ce5B7AF99b4c2d52c9	Contrato Inteligente A (Contrato de punto de entrada Etapa 1, contiene JS de Etapa 2 codificado en base64)
Dirección Blockchain	0x4679 0e2Ac7F3CA5a7D1bf Ce3123d1 1E91D23386Fw	Contrato Inteligente B (Carga útil de superposición ClickFix específica de Windows)
Dirección Blockchain	0x68Dc e15C1002 a268 9E19D33A 3aE509Dd1fe b11A5	Contrato Inteligente C (Carga útil específica de macOS)
Dirección Blockchain	0xf4a325 88b50a59ab2fb a148d 4360b1A48d8b 0b32A	Contrato Inteligente D (Rastreador de confirmación de ejecución en la cadena)
Dirección de Billetera	0xd71f4cdC8442 0d2bd07F 507b7A4F99 8b4c2d52c9	Billetera de despliegue compartida para los cuatro contratos inteligentes
Endpoint RPC	bsc-testnet-rpc.publicnode[.]com	Endpoint RPC de la red de prueba de BSC consultado por el JavaScript inyectado de Etapa 1
Nombre de Archivo	put34b.camp	DLL remota cargada por el servicio WebClient de Windows directamente en la memoria
Nombre de Archivo	pythonw.exe	Intérprete de Python silencioso soltado en el directorio de Datos de FileZilla
Nombre de Archivo	helper.py	Cargador de shellcode soltado junto con pythonw.exe
Nombre de Archivo	libvlccore.dll	DLL proxy maliciosa utilizada en la tríada de carga lateral de DLL de VLC (ACRStealer)
Nombre de Archivo	remote_debugging.pyd	Módulo de robo de credenciales del navegador utilizado por SectopRAT
Nombre de Cookie	cjs_id	Cookie UUID establecida por el JS de la superposición para rastrear la IP pública de la víctima y la correlación de visitas
Rastreador de Análisis	mc.yandex[.]ru/metrika/tag.js	Rastreador de Yandex Metrika inyectado por la carga útil de macOS (ID de contador: 99162160)
Nombre de Proceso	rundll32.exe	Utilizado para cargar la DLL remota put34b.camp a través de una ruta UNC
Nombre de Proceso	dllhost.exe	Iniciado por rundll32.exe; suelta archivos de RAT de Python e inyecta en navegadores

Nota: Las direcciones IP y los dominios han sido desinfectados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/clearfake-uses-bsc-testnet-smart-contracts/