Gizmodo confirmó haber sufrido un incidente de seguridad donde se inyectaron ventanas falsas de CAPTCHA para engañar a los usuarios y ejecutar código malicioso. El ataque, vinculado al programa ClickFix, intentó instalar el malware NetSupport RAT en Windows y un archivo ZIP en macOS. El sitio ya resolvió el problema eliminando el script y asegurando la cuenta comprometida.

El veterano sitio web de tecnología Gizmodo confirmó una vulneración el sábado después de que los lectores informaran la aparición de avisos del malware ClickFix en las páginas de sus artículos.

Los usuarios publicaron capturas de pantalla de ventanas falsas de CAPTCHA que aparecían en el sitio de Gizmodo. El ataque tiene como objetivo engañar a los usuarios para que ejecuten código malicioso a través de sus terminales.

Según Tommy M, investigador de amenazas de Proofpoint, el ataque fue aparentemente lanzado por un afiliado de ErrTraffic, un programa de "ClickFix como servicio" que permite a los atacantes entregar cualquier malware que elijan.

Dijo que el aviso de ClickFix estaba adaptado al sistema operativo de cada usuario. La versión de Windows intentaba instalar el malware NetSupport RAT, que abusa de la herramienta legítima NetSupport Manager para obtener acceso a los sistemas afectados.

Darktrace afirma que NetSupport RAT también puede utilizarse para exfiltrar archivos de los sistemas afectados y cargar cargas útiles adicionales, como otras cepas de malware y ransomware.

La versión de macOS tenía una carga útil configurada pero parecía estar rota, ya que requería una contraseña para abrir un archivo ZIP.

Gizmodo señaló que los ataques se mostraban solo "brevemente", y la cronología de los informes de los usuarios, que abarcan solo unas pocas horas, sugiere que efectivamente fue así.

"Identificamos y resolvimos un incidente de seguridad en nuestro sitio hoy temprano", dijo el medio a través de X. "Una cuenta comprometida fue explotada para inyectar un script malicioso, exponiendo brevemente a los usuarios a contenido de estafa. El sitio fue puesto fuera de línea inmediatamente, el script eliminado y la cuenta asegurada.

"Ya estamos de vuelta. Si notas algo inusual, contáctanos".

Se confirmó que el sitio web ya no sirve avisos de ClickFix desde el lunes. 

Fuente:
TheRegister