ClearFake ha implementado una estafa sofisticada que utiliza CAPTCHAs falsos para robar criptomonedas y credenciales. El ataque convierte sitios web comprometidos en plataformas de lanzamiento, engañando a los usuarios para que ejecuten comandos que parecen rutinarios. La operación utiliza código inyectado en el navegador e instrucciones alojadas en blockchain para desactivar las herramientas de protección de endpoints (EDR) mediante controladores vulnerables.

ClearFake ha expandido una estafa de CAPTCHA falso en una cadena que roba criptomonedas y credenciales mientras desactiva la protección de los endpoints. Convierte sitios web comprometidos en plataformas de lanzamiento, confiando en que los visitantes ejecuten un comando que parece rutinario.

La operación comienza con código inyectado en el navegador, instrucciones alojadas en blockchain y un aviso de ClickFix diseñado como un CAPTCHA de Google. Después de que sigas los pasos, un cargador remoto recupera y ejecuta una biblioteca disfrazada a través de WebDAV.

Analistas de Cisco Talos identificaron la actividad tras observar una ejecución inusual de bibliotecas remotas en una organización gubernamental ucraniana en abril de 2026. Evalúan que los ataques observados eran parte de una operación de robo más amplia, y no una campaña dirigida específicamente a esa organización.

Las consecuencias pueden ir más allá del robo de datos del navegador. Una rama instala un robacriptos (crypto stealer) que cambia las direcciones de billeteras copiadas, mientras que otra puede proporcionar control remoto a un operador. Esto otorga a los atacantes una ruta desde una página web engañosa hasta el acceso persistente y el robo financiero.

Cisco Talos dijo en un informe que rastreó la actividad vinculada a la rama del cargador remoto como UAT-10820.

ClearFake despliega un robacriptos

En la rama del robacriptos, la primera carga útil recibe instrucciones para obtener un archivo. Se abusa de un componente legítimo y firmado de Chrome dentro de ese archivo para cargar una biblioteca maliciosa colocada junto a él, una técnica llamada DLL side-loading.

Esa biblioteca lanza ZigCryptoStealer y un controlador de Windows firmado pero vulnerable. El cargador busca productos EDR y envía los identificadores de procesos coincidentes al controlador, que puede forzar su detención.

Este es un ataque de "trae tu propio controlador vulnerable" (BYOVD, por sus siglas en inglés). Un controlador trabaja en las profundidades de Windows, por lo que la eliminación de procesos puede socavar las protecciones que vigilan el dispositivo. Ataques similares con controladores contra herramientas EDR muestran por qué el código firmado por sí solo no puede considerarse seguro.

Con las defensas debilitadas, ZigCryptoStealer monitorea el portapapeles en busca de direcciones de criptomonedas. Puede reemplazar una dirección copiada por una controlada por el atacante, redirigiendo potencialmente un pago sin que tú recibas una advertencia obvia.

El malware también utiliza un contrato de blockchain para obtener una infraestructura de comandos cambiante. Este enfoque, conocido como EtherHiding, permite a los operadores actualizar el lugar donde se comunica el robacriptos sin cambiar el código entregado a la computadora infectada.

Esto permite que los atacantes cambien de campaña rápidamente y mantengan el contenido malicioso alejado de su infraestructura de entrega principal. Campañas web anteriores del robacriptos Amatera ilustran cómo los operadores de ClearFake han emparejado repetidamente sitios hackeados con pantallas de verificación falsas.

De un CAPTCHA falso al control total

La cadena de entrega comienza cuando los atacantes comprometen un sitio web e inyectan JavaScript a través de un Worker de Cloudflare malicioso. El script verifica el entorno del visitante y recupera más código de BNB Smart Chain antes de cubrir la página con un aviso de verificación convincente.

El aviso indica a los visitantes de Windows que abran el cuadro de diálogo "Ejecutar", peguen el contenido del portapapeles y presionen Enter. Esa acción lanza un comando que accede a una ruta WebDAV remota y llama a rundll32, una utilidad legítima de Windows, para ejecutar una exportación de biblioteca identificada solo por un número.

Este diseño traslada el paso crucial de la ejecución a la víctima, evitando la necesidad de un exploit del navegador. El enfoque coincide con una técnica de entrega ClickFix WebDAV que utiliza componentes confiables de Windows para cargar malware remoto mientras oculta el propósito del comando.

Una rama separada utiliza el mismo patrón general de WebDAV pero eventualmente ejecuta un script de PowerShell que instala un cliente de acceso remoto no autorizado. Oculta la interfaz del cliente, se conecta a una puerta de enlace del atacante y crea una tarea que se inicia al iniciar sesión.

Esa capacidad de acceso remoto eleva el riesgo. El robo automatizado puede recolectar contraseñas, datos de sesión, claves de billeteras y archivos seleccionados, mientras que un operador humano podría entonces navegar por tu escritorio, transferir archivos, ejecutar comandos o desplegar más malware.

Ataques relacionados de malware con CAPTCHA falso muestran que el mismo modelo de ingeniería social sigue siendo efectivo a pesar de los cambios en los cargadores.

Las organizaciones deberían enseñar a su personal que las verificaciones de CAPTCHA legítimas nunca requieren abrir Ejecutar, Terminal, PowerShell o el Símbolo del sistema y pegar un comando.

Los equipos de seguridad deben investigar el tráfico WebDAV inusual, la ejecución de rundll32 basada en ordinales, servicios de controladores inesperados y nuevas tareas programadas, y deberían utilizar listas de bloqueo de controladores y protecciones contra controladores vulnerables.