Microsoft emite alerta por nuevo ataque a Windows que usa captchas falsos para infectar el equipo

Microsoft advirtió sobre una campaña maliciosa activa que utiliza sitios web comprometidos para engañar a los usuarios y lograr que instalen una puerta trasera capaz de otorgar acceso remoto a redes internas de organizaciones. La compañía bautizó la operación como TerminalFix, en referencia a su parecido con los ataques clásicos conocidos como ClickFix, aunque con una variante que apunta directamente a la terminal de comandos de Windows.

Cuando un usuario visita alguno de los sitios web afectados por la campaña, se le presenta una superposición que simula ser una verificación de captcha de Cloudflare. El mensaje le indica que debe completar el proceso copiando y ejecutando un comando de PowerShell, ya sea en la Terminal de Windows o directamente en PowerShell.

Según los investigadores de seguridad de Microsoft, Sagar Patil, Suriyaraj Natarajan y Parasharan Raghavan, esta variante se diferencia de los ataques ClickFix tradicionales, que suelen dirigir a las víctimas al cuadro de diálogo Ejecutar de Windows.

“Las campañas TerminalFix aplican la misma técnica pero dirigen a los usuarios a la Terminal de Windows o PowerShell en su lugar, lo que aumenta la probabilidad de que scripts complejos de múltiples líneas se ejecuten con éxito”, explicaron los investigadores en un análisis publicado esta semana.

La campaña tiene como objetivo a organizaciones de múltiples sectores y recurre a sitios web comprometidos como punto de entrada para difundir estas falsas verificaciones.

Un proceso de infección en varias etapas

El ataque, según describió Microsoft, constituye un proceso sofisticado de múltiples fases que combina la técnica de sideloading de DLL, extracción esteganográfica de cargas útiles, reconocimiento extensivo de Active Directory y un implante personalizado de túnel inverso.

Al ejecutar el comando malicioso, el sistema de la víctima descarga un archivo ZIP que contiene un binario legítimo, identificado como “LockScreenContentServer.exe”, junto con un archivo DLL fraudulento llamado “dui70.dll”. Esta combinación permite iniciar el ataque de sideloading, mediante el cual el binario legítimo carga la DLL maliciosa.

Esa DLL comprometida se encarga de recuperar cargas útiles adicionales ocultas dentro de imágenes en formato PNG, alojadas en dominios externos como “bestsocialmedianewspapper[.]com” u “offlineupdater[.]com”. Además, establece persistencia en el sistema a través de claves de registro y tareas programadas, para lo cual garantiza que el ataque continúe activo incluso después de reinicios del equipo.

Una puerta al interior de la red

El componente final de la cadena de infección es un implante personalizado en Python, identificado como “client.py”. Este programa crea una conexión cifrada mediante WebSocket hacia la infraestructura de los atacantes, específicamente hacia el dominio “gitnow[.]dev:443”, y funciona como un proxy estilo SOCKS5 que otorga acceso a la red interna de la víctima.

Con esta herramienta, los atacantes pueden conectarse a máquinas internas, examinar controladores de dominio, ejecutar comandos y mantener el acceso de forma persistente. En la práctica, el equipo comprometido se convierte en un punto de apoyo para desplazarse lateralmente dentro de la red de una organización.

Durante la fase de reconocimiento, el malware recopila metadatos del sistema, realiza descubrimiento de relaciones de confianza entre dominios, enumera cuentas de administrador de dominio y ejecuta búsquedas en usuarios y equipos de Active Directory. También envía pings a servidores designados para mapear la topología de la red interna.

Paralelamente, el ataque instala un bucle persistente de PowerShell que vigila un archivo de texto en busca de nuevos comandos, los ejecuta mediante la función Invoke-Expression y registra los resultados en un archivo de salida.

Microsoft precisó que, hasta el momento, no observó a los atacantes llevar a cabo movimientos laterales de forma efectiva, por lo que resulta difícil determinar el uso final que planean dar al acceso obtenido. No obstante, advirtió que ese tipo de acceso suele explotarse después para escalar privilegios, desactivar controles de seguridad, extraer información sensible y desplegar ransomware en toda la organización afectada.

Recomendaciones para mitigar el riesgo

Microsoft instó a las organizaciones a tratar los dispositivos afectados como posibles puntos de pivote en la red e investigar la existencia de movimientos laterales o exposición de credenciales. Entre las medidas de mitigación recomendadas se encuentran restringir la ejecución de PowerShell y del cuadro de diálogo Ejecutar para usuarios estándar mediante herramientas como AppLocker, Application Control for Windows o Directivas de Grupo.

La compañía también sugirió bloquear o auditar el acceso al cuadro de diálogo Ejecutar (Win+R) cuando no sea necesario, monitorear indicadores de sideloading de DLL, capacitar a los empleados para reconocer ataques del tipo ClickFix y habilitar el registro de bloques de script de PowerShell para detectar y analizar comandos ofuscados o codificados.