Están utilizando trucos de ClickFix para instalar cargadores de malware y túneles de Python en sistemas Windows. Este método crea un acceso que podría facilitar ataques de ransomware. Un incidente ocurrido a finales de septiembre demostró cómo la ejecución de un comando puede iniciar una cadena de infección basada en programas confiables de Microsoft, código oculto y tráfico de red cifrado, aunque el ataque fue detenido antes de que el ransomware se desplegara.

Utilizando trucos de ClickFix para instalar cargadores de malware y túneles de Python en sistemas Windows, creando un acceso que podría dar soporte a ataques de ransomware.

Un incidente a finales de septiembre muestra cómo un usuario que ejecuta un comando puede iniciar una cadena de infección basada en programas confiables de Microsoft, código oculto y tráfico de red cifrado.

El ataque fue detenido antes de que el ransomware alcanzara los sistemas afectados. Sin embargo, las herramientas y los métodos coincidían con la actividad vinculada previamente a Vice Society, un grupo de cibercrimen asociado con el ransomware Rhysida.

Esa conexión apunta a un probable objetivo de ransomware, pero no es prueba de que se haya producido el cifrado o de que el grupo haya llevado a cabo este incidente.

Investigadores de Forescout identificaron Lorem Ipsum Loader durante la investigación y examinaron cinco muestras junto con 39 muestras de AxolotlLoader.

Su análisis técnico de ambos cargadores, publicado el 14 de octubre, describe un nuevo método de entrega basado en instaladores, tráfico de comandos compartido e importantes diferencias entre las familias de malware.

Utilizan ClickFix y túneles de Python

ClickFix persuade a las personas para que ejecuten comandos presentados como pasos de verificación o correcciones. Su variante TerminalFix dirige a los usuarios hacia Windows Terminal o PowerShell.

Informes anteriores sobre avisos falsos de CAPTCHA de Cloudflare mostraron cómo este enfoque puede llevar a un túnel inverso hacia las redes corporativas sin explotar ningún fallo de software.

En el incidente que examinó Forescout, los archivos ZIP contenían un ejecutable firmado de Microsoft, una DLL maliciosa y un script de lotes (batch script).

Iniciar el programa confiable provocó que este cargara la biblioteca maliciosa cercana, un método llamado DLL sideloading. El script también creó una entrada de inicio en el registro y una tarea programada que se ejecutaba cada hora.

La DLL maliciosa llevaba una sección adicional que contenía instrucciones codificadas. Un diccionario de 260 palabras aleatorias de cinco letras ayudó a decodificar la carga útil oculta.

Otra capa utilizaba decodificación XOR, mientras que un JPEG incrustado actuaba como señuelo. Estos pasos ocultaron el descargador antes de que su código se ejecutara en la memoria. El cargador luego restauró partes de una biblioteca de Windows desde una copia limpia del disco, un paso destinado a interferir con el monitoreo de los endpoints.

Lanzó otra copia de su programa anfitrión, inyectó código en ese proceso y finalizó el proceso original. Un marcador único y un mutex ayudaron a evitar instancias duplicadas.

El túnel de Python ofrece a los atacantes una ruta de regreso

Para localizar sus servidores de comando, Lorem Ipsum leyó información codificada de perfiles en un foro público legítimo. Este método de “punto de entrega” (dead-drop) separó la lista de servidores del malware en sí.

Después del registro, el cargador comprobaba si había tareas cada cinco segundos, utilizando tráfico que pretendía provenir de Firefox. La herramienta final descargada era un cliente de túnel de Python. Se conectaba a través de tráfico TLS cifrado en el puerto 443 y cambiaba a comunicación WebSocket.

Ataques similares de proxy de Python de ClickFix han utilizado diferentes herramientas con un propósito similar: mantener una ruta hacia un entorno comprometido después de la primera infección.

A través del túnel, el servidor remoto podía solicitar conexiones TCP a destinos especificados y retransmitir datos en ambas direcciones. Varias conexiones podían permanecer activas a la vez.

Los mensajes keepalive mantenían el acceso, mientras que un comando de apagado permitía al operador detener el cliente. Las cabeceras similares a las de un navegador ayudaban a que la conexión pareciera menos sospechosa.

Forescout también encontró una cadena de entrega separada que utilizaba un instalador MSI de Teams modificado y dos etapas de PowerShell. Un script descomprimía una carga útil comprimida en GZIP, que luego asignaba memoria y ejecutaba código.

La cobertura anterior de instaladores falsos de Microsoft Teams documenta otra campaña vinculada al ransomware que abusa de la misma marca de software confiable, aunque sus cargas útiles eran diferentes.

La comparación encontró tres variantes de AxolotlLoader distribuidas en diferentes programas anfitriones. A diferencia de la codificación basada en palabras de Lorem Ipsum, Axolotl utilizaba datos PNG incrustados para decodificar el shellcode.

Ambas familias compartían patrones de registro y enlaces de alojamiento, pero su código era diferente. Forescout consideró probable una relación evolutiva, aunque subrayó que no podía confirmarla. Esa distinción es importante porque un cargador o un túnel no prueba la ejecución de ransomware.

La cobertura del movimiento lateral de ransomware de ClickFix muestra cómo otras cadenas de malware pueden dar soporte a actividades posteriores, pero los investigadores deben establecer cada etapa por separado. En este caso, la contención interrumpió la cadena antes de que llegara la sospechada carga útil final.

Forescout recomienda la formación de los usuarios junto con la comprobación de cadenas de procesos de PowerShell inusuales, cargas de DLL fuera de las carpetas normales de Windows, y entradas de registro y tareas programadas coincidentes.

Los defensores también deberían revisar el acceso a perfiles de foros que no sea a través de un navegador y el tráfico de registro sospechoso. Las direcciones de alojamiento compartido y la huella digital TLS reportada deberían servir de apoyo a la investigación en lugar de ser pruebas independientes de compromiso.

Indicadores de compromiso (IoCs):-

Indicadores de red confirmados

Indicador	Tipo	Contexto de la fuente
scriptedgeapp[.]com	Dominio	Servidor de comandos de Lorem Ipsum
213.109.203[.]107	IPv4	Servidor de comandos de Lorem Ipsum
transferrootway[.]com	Dominio	Servidor de comandos de Lorem Ipsum
45.66.249[.]57	IPv4	Servidor de comandos de Lorem Ipsum
updaterdeskarc[.]com	Dominio	Servidor de comandos de Lorem Ipsum
185.28.119[.]81	IPv4	Servidor de comandos de Lorem Ipsum
signinbyte[.]com	Dominio	Servidor de comandos de Lorem Ipsum
185.28.119[.]14	IPv4	Servidor de comandos de Lorem Ipsum
queuepodnet[.]com	Dominio	Servidor de comandos de Lorem Ipsum
45.66.249[.]132	IPv4	Servidor de comandos de Lorem Ipsum
vaycia[.]shop	Dominio	Servidor de comandos de Lorem Ipsum
animals-offline[.]com	Dominio	Servidor de comandos de Lorem Ipsum
loginrestforest[.]com	Dominio	Servidor de comandos de Lorem Ipsum
animalsviewstory[.]com	Dominio	Servidor de comandos de Lorem Ipsum
blogpostmessage[.]com	Dominio	Servidor de comandos de Lorem Ipsum
bloganimals[.]com	Dominio	Servidor de comandos de AxolotlLoader
185.28.119[.]138	IPv4	Servidor de comandos de AxolotlLoader
letsdiskuss[.]com/user/lindawilliams51453	Ruta de perfil	Perfil abusado en un sitio web legítimo
letsdiskuss[.]com/user/dhuahsd12d2752	Ruta de perfil	Perfil abusado en un sitio web legítimo
letsdiskuss[.]com/user/joeblack1673	Ruta de perfil	Perfil abusado asociado con entrega MSI-a-PowerShell
POST /api/init/<uuid>	Patrón HTTP	Registro usando image/jpeg y cabeceras Firefox/143
a0e9f5d64349fb13191bc781f81f42e1	Huella JA3	Señal de detección de apoyo, no prueba independiente

Fuente: Tabla de IoC de red confirmados de Forescout.

Artefactos de búsqueda adicionales reportados por la fuente

Artefacto	Valor o patrón	Contexto
Contacto de perfil	lindawilliams@onionmail[.]org	Contacto en el perfil de punto de entrega observado
Resolutor alternativo	digitalpoint[.]com/members/<name>	Plataforma legítima abusada en otras muestras reportadas
Delimitadores de lista codificada	-=( y )=-	Marcadores que rodean la información del servidor codificada
Endpoint de comando adicional	/api/cl/	Observado en otras muestras
Endpoint del túnel	/tunnel	Actualización de WebSocket protegida por TLS
Cliente del túnel	client.py	Utilidad final de tunelización de Python
User-Agent	Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:143.0) Gecko/20100101 Firefox/143.0	Tráfico de comandos del cargador
Par de Sideloading	vdsldr.exe / vdsutil.dll	Ejecutable limpio y biblioteca maliciosa
Par de Sideloading	CertEnrollCtrl.exe / CertEnroll.dll	Ejecutable limpio y biblioteca maliciosa
Script de lotes	1.bat	Establece persistencia y lanza el anfitrión
Nombres de persistencia	vdsldr_j6cx7eGEb; CertEnrollCtrl_L9k737tk9	Nombres de registro/tarea observados
Patrón de persistencia	<nombrebase>_<9 caracteres>	Correlacionar valores de registro y tareas coincidentes
Intervalo de tarea	/sc minute /mo 60	Ejecución programada cada hora
Recursos del cargador	.cpoc; RT_RCDATA	Carga útil codificada y diccionario de palabras
Artefactos de Axolotl	fothk; .detourc; .detourd; 0x6997XXXX	Patrones de sección y shellcode dependientes de la variante
DLLs de tiempo de ejecución	libgcc_s_seh-1.dll; libwinpthread-1.dll	Archivos creados conjuntamente por PowerShell
Argumentos de PowerShell	-AgentDll; -DepsDir; -Shim	Términos de búsqueda de scripts y procesos recomendados por la fuente
Rango de búsqueda	185.28.119.0/24	Pista de infraestructura; verificar alojamiento compartido antes de bloquear
Sujeto del certificado	BUSINESS CONSULTING SP Z O O	Compartido por las 39 muestras de Axolotl analizadas
Serial del certificado	330007dc4e73fc0b983770783900000007dc4e	Certificado de firma de Axolotl
Emisor del certificado	Microsoft ID Verified CS AOC CA 01	Emisor del certificado reportado
Validez del certificado	19–22 de febrero de 2026	Período de validez reportado

Fuente: Análisis y guía de detección de Forescout.

Indicadores de pivote no confirmados

Estos valores provienen de pivotes de infraestructura y no fueron confirmados individualmente como maliciosos en el informe. Se han eliminado las entradas de dominios duplicados.

Indicadores	Pivote de fuente o relación
creativecurrentmedia[.]com dailydoodleart[.]com oiedra[.]com uoidsod[.]com wandertalesblog[.]com	Sujeto del certificado vinculado “Mariah Lingle”
biblegodlike[.]com reeeeealy[.]com semigoddess[.]com	Sujeto del certificado vinculado “PAUL DEPASTENE”
bestpopularimages[.]com editdocumentfree[.]com opendocumentonline[.]com photocategories[.]com seephotoalbum[.]com topimagechecker[.]com topphotoalbum[.]com cloudbreachdetection[.]com beastcloudsecurity[.]com peekyourphoto[.]com newpopularimages[.]com yourbestsupervisiournow[.]com metricsdataway[.]com creativecurrentmedia[.]com cooldogshistory[.]com	Nodo de la familia Lorem Ipsum
syalae[.]com	Direcciones de pivote asociadas: 91.236.230[.]173, 92.118.126[.]226

Fuentes:
https://cybersecuritynews.com/hackers-use-clickfix/