Cómo esta campaña de ClickFix conduce a Redline Stealer

Resumen ejecutivo

Okta Threat Intelligence ha observado una amenaza cibernética en evolución que aprovecha páginas CAPTCHA engañosas para distribuir una variedad de cargas maliciosas.

Estas campañas, a menudo denominadas campañas de "ClickFix" o "Demuestra que eres humano", explotan la confianza del usuario y sus instintos de resolución de problemas para eludir las medidas de seguridad convencionales.

Los ataques ClickFix generalmente comienzan con *malvertising* (usuarios engañados para hacer clic en resultados de búsqueda pagados) o enlaces en correos electrónicos de *phishing*, cualquiera de los cuales redirige a un usuario a sitios web que se hacen pasar por marcas conocidas.

Los ataques intentan manipular a los usuarios para que ejecuten comandos maliciosos imitando comprobaciones de seguridad legítimas. Un usuario que ejecuta estos comandos permite la vulneración del sistema, el robo de datos y la entrega de malware al dispositivo del usuario final.

Okta Threat Intelligence identificó y analizó una campaña ClickFix dirigida a marcas de Okta que aprovecha páginas de verificación CAPTCHA engañosas. Okta ha enviado solicitudes de eliminación, cuando corresponde, y ha informado otros dominios sospechosos (consulte los Indicadores de Compromiso en el Apéndice A) a varios servicios de reputación de terceros.

El objetivo principal de las campañas ClickFix es distribuir varios malware de robo de credenciales y troyanos de acceso remoto (RAT). Estas familias de malware están diseñadas para recolectar información confidencial, incluyendo credenciales, datos web y detalles de billeteras de criptomonedas guardados en el dispositivo de un usuario, permitiendo el fraude financiero y el acceso no autorizado a los sistemas comprometidos.

La Okta Threat Intelligence evalúa que la diversidad de familias de malware que se implementan en los sitios de phishing de ClickFix indica que estas campañas son parte de un ecosistema de "crimen como servicio" (CaaS). En estos mercados, los atacantes pagan a un servicio externo para que entregue el malware de su elección a las víctimas (cada víctima se denomina "carga"), en lugar de que el servicio actúe exclusivamente para una "banda" de malware específica que implemente una única variante de malware.

La creciente sofisticación de estos ataques, incluida su promoción en foros clandestinos y la reutilización de infraestructura maliciosa, resalta la necesidad de una mayor conciencia del usuario y la capacidad de responder rápidamente a los dispositivos comprometidos.

Análisis de amenazas

Ingeniería Social para el Acceso Inicial

Las campañas ClickFix dependen de la interacción humana para evitar las medidas de seguridad automatizadas. La cadena de ataque normalmente se desarrolla a través de varias etapas distintas:

La vulneración a menudo comienza con anuncios maliciosos en los motores de búsqueda que atraen a usuarios desprevenidos.

Por ejemplo, una consulta de búsqueda de una herramienta o el portal de Recursos Humanos de una organización podría mostrar un anuncio patrocinado que conduzca a un sitio malicioso.

Respuesta ante amenazas

Lo que estamos haciendo
Participamos activamente en las siguientes actividades para mitigar esta amenaza:

• Supervisión continua de nuevos dominios de phishing registrados e infraestructura asociada con campañas de ClickFix que imitan las marcas de Okta.
• Presentar de forma proactiva informes de abuso a los registradores y proveedores de alojamiento pertinentes para iniciar solicitudes de eliminación de los sitios maliciosos identificados.
• Proporcionar orientación y asistencia a las organizaciones para mejorar la seguridad de sus entornos Okta e investigar cualquier actividad sospechosa relacionada con cuentas potencialmente comprometidas.

Controles de protección

Recomendaciones para los clientes

• Restrinja el acceso a aplicaciones confidenciales a dispositivos que son administrados por herramientas de Endpoint Management y protegidos por herramientas de seguridad de extremos. También recomendamos evaluar el rango de detecciones de higiene adicionales disponibles para dispositivos MacOS utilizando Okta Advanced Posture Checks (actualmente en Acceso Anticipado). Para el acceso a aplicaciones menos confidenciales, exija dispositivos registrados (que utilicen Okta FastPass) que exhiban indicadores de higiene básica.
• Implemente controles de detección perimetral (filtro de correo electrónico y web) que impidan el acceso de los usuarios a sitios maliciosos conocidos.
• Los administradores de Windows deben considerar permitir la ejecución de secuencias de comandos de PowerShell confiables y firmadas digitalmente en los dispositivos de los usuarios finales, y denegar todos los demás.
• Si utiliza una solución de navegador aislado/administrado, explore la viabilidad de restringir la función de copiar y pegar contenido del navegador a aplicaciones específicas (como el portapapeles o las herramientas de línea de comandos).
• Inscriba a los usuarios en autenticadores resistentes al phishing y aplique la resistencia al phishing en la política. Las políticas de autenticación de Okta también se pueden utilizar para restringir el acceso a las cuentas de usuario en función de una variedad de requisitos previos configurables por el cliente. Deniegue o exija una mayor seguridad para las solicitudes de redes que se utilizan raramente o cuando las solicitudes de acceso a las aplicaciones se desvían de los patrones de actividad del usuario establecidos previamente.
• Capacite a los usuarios para que identifiquen indicadores de correos electrónicos sospechosos, sitios de phishing y técnicas comunes de ingeniería social, como los ataques ClickFix. Asegúrese de que comprendan lo que se espera de las respuestas CAPTCHA o las actualizaciones del navegador, y que sospechen de los mensajes que les indiquen realizar pasos manuales inusuales utilizando herramientas del sistema (Terminal, PowerShell, etc.). Facilite a los usuarios la denuncia de posibles problemas mediante la configuración de Notificaciones al usuario final y el Informe de actividad sospechosa.

Observación y respuesta a la infraestructura de phishing:

• Revise los registros de aplicaciones (registros de Okta, proxies web, sistemas de correo electrónico, servidores DNS, firewalls) para cualquier evidencia de comunicación con dichos dominios sospechosos.
• Supervise los dominios regularmente para verificar si el contenido cambia.
• Si el contenido alojado en el dominio infringe los derechos de autor o las marcas legales, considere proporcionar evidencia y emitir una solicitud de eliminación con el registrador del dominio y/o el proveedor de alojamiento web.

Apéndice A: Indicadores de compromiso

Esta es una investigación en curso, y se pueden identificar IOCs adicionales a medida que evoluciona la campaña. Se aconseja a las organizaciones que permanezcan atentas e implementen las estrategias de mitigación recomendadas. A continuación, se muestran los IOC observados.