ClickFixRAT - Historial de revisiones

Fernando.VH en 18:02 17 feb 2026

2026-02-17T18:02:08Z

← Revisión anterior		Revisión del 18:02 17 feb 2026
Línea 204:		Línea 204:
	clickfix social-engineering matanbuchus astarionrat loader rat trojan dll-side-loading reflective-loading lua-scripting credential-access lateral-movement psexec rdp defense-evasion c2-ransomware-preparation windows security-campaign incident-response threat-intelligence advanced-persistent-threat apt malware-as-a-service maas		clickfix social-engineering matanbuchus astarionrat loader rat trojan dll-side-loading reflective-loading lua-scripting credential-access lateral-movement psexec rdp defense-evasion c2-ransomware-preparation windows security-campaign incident-response threat-intelligence advanced-persistent-threat apt malware-as-a-service maas

	[[~~index.php?title=~~Categoría:CAMPAÑAS\|CAMPAÑAS]]		[[Categoría:CAMPAÑAS\|CAMPAÑAS]]

Fernando.VH en 18:01 17 feb 2026

2026-02-17T18:01:56Z

← Revisión anterior		Revisión del 18:01 17 feb 2026
Línea 1:		Línea 1:
	Nombres Alternativos / Aliases		== Nombres Alternativos / Aliases ==

	* Campaña ClickFix + Matanbuchus + AstarionRAT		* Campaña ClickFix + Matanbuchus + AstarionRAT
	* Operación de Intrusión de Alta Velocidad		* Operación de Intrusión de Alta Velocidad
Línea 6:		Línea 5:
	* AstarionRAT Discovery Campaign		* AstarionRAT Discovery Campaign

	Fecha de Detección / Actividad		=== Fecha de Detección / Actividad ===

	* Período de Actividad Observado: Febrero de 2026 (fecha de respuesta del equipo de Huntress a la intrusión específica). La técnica ClickFix ha sido prevalente desde 2025.		* Período de Actividad Observado: Febrero de 2026 (fecha de respuesta del equipo de Huntress a la intrusión específica). La técnica ClickFix ha sido prevalente desde 2025.
	* Fecha de Divulgación Pública: El informe detallado de Huntress se publicó el 17 de febrero de 2026.		* Fecha de Divulgación Pública: El informe detallado de Huntress se publicó el 17 de febrero de 2026.
	* Estado: Activa, con la técnica ClickFix siendo uno de los métodos de acceso inicial más frecuentes.		* Estado: Activa, con la técnica ClickFix siendo uno de los métodos de acceso inicial más frecuentes.

	Actor de Amenaza (Atribución)		=== Actor de Amenaza (Atribución) ===

	* Atribución: No atribuida formalmente a un grupo específico. Sin embargo, el uso de Matanbuchus 3.0, un cargador premium (Malware-as-a-Service) con un costo de hasta $15,000/mes, sugiere un actor con recursos significativos.		* Atribución: No atribuida formalmente a un grupo específico. Sin embargo, el uso de Matanbuchus 3.0, un cargador premium (Malware-as-a-Service) con un costo de hasta $15,000/mes, sugiere un actor con recursos significativos.
	* Tipo de Actor: Grupos de ciberdelincuencia o actores de estados nacionales que realizan operaciones dirigidas de alto valor.		* Tipo de Actor: Grupos de ciberdelincuencia o actores de estados nacionales que realizan operaciones dirigidas de alto valor.
Línea 19:		Línea 16:
	* Motivación: Acceso no autorizado a redes corporativas, robo de credenciales y datos sensibles, establecimiento de persistencia y preparación del terreno para un posible ataque de ransomware o exfiltración de datos.		* Motivación: Acceso no autorizado a redes corporativas, robo de credenciales y datos sensibles, establecimiento de persistencia y preparación del terreno para un posible ataque de ransomware o exfiltración de datos.

	Resumen Ejecutivo		== Resumen Ejecutivo ==

	ClickFixRAT es una sofisticada campaña de intrusión que combina una trampa de ingeniería social conocida como "ClickFix" con un cargador de malware premium (Matanbuchus 3.0) para desplegar un nuevo y poderoso troyano de acceso remoto (RAT) llamado AstarionRAT. La cadena de ataque es inusualmente compleja, comenzando con un usuario engañado para copiar y pegar un comando que inicia una instalación MSI silenciosa. A través de una secuencia de múltiples capas que incluyen carga lateral de DLL (Zillya Antivirus y Java), descifrado de shellcode, un intérprete Lua integrado y un cargador PE reflexivo personalizado, se implanta AstarionRAT en la memoria.		ClickFixRAT es una sofisticada campaña de intrusión que combina una trampa de ingeniería social conocida como "ClickFix" con un cargador de malware premium (Matanbuchus 3.0) para desplegar un nuevo y poderoso troyano de acceso remoto (RAT) llamado AstarionRAT. La cadena de ataque es inusualmente compleja, comenzando con un usuario engañado para copiar y pegar un comando que inicia una instalación MSI silenciosa. A través de una secuencia de múltiples capas que incluyen carga lateral de DLL (Zillya Antivirus y Java), descifrado de shellcode, un intérprete Lua integrado y un cargador PE reflexivo personalizado, se implanta AstarionRAT en la memoria.

Línea 32:		Línea 28:
	* Ejecución de Scripts: Uso de un intérprete Lua embebido para ejecutar scripts que decodifican y lanzan shellcode.		* Ejecución de Scripts: Uso de un intérprete Lua embebido para ejecutar scripts que decodifican y lanzan shellcode.

	Técnicas, Tácticas y Procedimientos (TTPs)		== Técnicas, Tácticas y Procedimientos (TTPs) ==
	{\| class="wikitable"		{\| class="wikitable"
	!Táctica (MITRE ATT&CK)		!Táctica (MITRE ATT&CK)
Línea 102:		Línea 98:
	\|Uso de cifrado RSA y ChaCha20 para las comunicaciones con el servidor C2.		\|Uso de cifrado RSA y ChaCha20 para las comunicaciones con el servidor C2.
	\|}		\|}
	~~Flujo de Ataque (Kill Chain)~~

			== Flujo de Ataque (Kill Chain) ==
	# Entrega e Ingeniería Social: El usuario visita un sitio web comprometido o malicioso y se encuentra con un mensaje falso (ClickFix) que le insta a copiar y pegar un comando para resolver un problema (ej. un CAPTCHA falso).		# Entrega e Ingeniería Social: El usuario visita un sitio web comprometido o malicioso y se encuentra con un mensaje falso (ClickFix) que le insta a copiar y pegar un comando para resolver un problema (ej. un CAPTCHA falso).
	# Ejecución Inicial: El usuario pega y ejecuta el comando en una terminal (Win+R, CMD). Este comando lanza <code>msiexec.exe</code> silenciosamente para descargar e instalar un paquete MSI desde un dominio malicioso (<code>binclloudapp[.]com</code>).		# Ejecución Inicial: El usuario pega y ejecuta el comando en una terminal (Win+R, CMD). Este comando lanza <code>msiexec.exe</code> silenciosamente para descargar e instalar un paquete MSI desde un dominio malicioso (<code>binclloudapp[.]com</code>).
Línea 115:		Línea 111:
	# Objetivo Final (Interrumpido): El objetivo final, probablemente el despliegue de ransomware o la exfiltración de datos, fue interrumpido por el equipo de respuesta de Huntress durante la fase de movimiento lateral.		# Objetivo Final (Interrumpido): El objetivo final, probablemente el despliegue de ransomware o la exfiltración de datos, fue interrumpido por el equipo de respuesta de Huntress durante la fase de movimiento lateral.

	Infraestructura Utilizada		== Infraestructura Utilizada ==
	{\| class="wikitable"		{\| class="wikitable"
	!Tipo		!Tipo
Línea 145:		Línea 141:
	\|Creadas en los hosts comprometidos para mantener el acceso.		\|Creadas en los hosts comprometidos para mantener el acceso.
	\|}		\|}
	~~Objetivos y Sectores Atacados~~

			== Objetivos y Sectores Atacados ==
	* Objetivo Principal: Organizaciones que utilizan tecnología Windows y tienen infraestructura de red estándar (servidores, controladores de dominio).		* Objetivo Principal: Organizaciones que utilizan tecnología Windows y tienen infraestructura de red estándar (servidores, controladores de dominio).
	* Sectores Prioritarios: No especificado en el informe, pero el alto costo del cargador Matanbuchus (hasta $15,000/mes) indica que el objetivo era una organización de alto valor.		* Sectores Prioritarios: No especificado en el informe, pero el alto costo del cargador Matanbuchus (hasta $15,000/mes) indica que el objetivo era una organización de alto valor.
	* Distribución Geográfica: La intrusión analizada no especifica la ubicación de la víctima, pero la técnica ClickFix es global.		* Distribución Geográfica: La intrusión analizada no especifica la ubicación de la víctima, pero la técnica ClickFix es global.

	Impacto y Riesgo		== Impacto y Riesgo ==

	* Nivel de Riesgo: Crítico. La intrusión demostró la capacidad de comprometer completamente la red, incluyendo los controladores de dominio, en menos de 40 minutos.		* Nivel de Riesgo: Crítico. La intrusión demostró la capacidad de comprometer completamente la red, incluyendo los controladores de dominio, en menos de 40 minutos.
	* Impacto Operacional: Control total de los sistemas comprometidos, con potencial para interrumpir operaciones o desplegar ransomware.		* Impacto Operacional: Control total de los sistemas comprometidos, con potencial para interrumpir operaciones o desplegar ransomware.
Línea 159:		Línea 154:
	* Punto de Apoyo para Ataques Mayores: La rápida progresión del ataque muestra un claro objetivo de preparar el terreno para un evento de ransomware o espionaje.		* Punto de Apoyo para Ataques Mayores: La rápida progresión del ataque muestra un claro objetivo de preparar el terreno para un evento de ransomware o espionaje.

	Recomendaciones de Mitigación		== Recomendaciones de Mitigación ==

	* Capacitación de Usuarios: Educar a los usuarios sobre los riesgos de copiar y pegar comandos de fuentes no confiables, como los falsos CAPTCHA o mensajes de error (técnica ClickFix).		* Capacitación de Usuarios: Educar a los usuarios sobre los riesgos de copiar y pegar comandos de fuentes no confiables, como los falsos CAPTCHA o mensajes de error (técnica ClickFix).
	* Políticas de Ejecución de Aplicaciones: Implementar AppLocker o WDAC para restringir la ejecución de binarios desde rutas no autorizadas, como <code>%APPDATA%</code> o <code>%TEMP%</code>.		* Políticas de Ejecución de Aplicaciones: Implementar AppLocker o WDAC para restringir la ejecución de binarios desde rutas no autorizadas, como <code>%APPDATA%</code> o <code>%TEMP%</code>.
Línea 168:		Línea 162:
	* Actualización de Firmas: Mantener actualizadas las soluciones antimalware para detectar los componentes conocidos de la cadena (hashes de <code>SystemStatus.dll</code>, <code>jli.dll</code>).		* Actualización de Firmas: Mantener actualizadas las soluciones antimalware para detectar los componentes conocidos de la cadena (hashes de <code>SystemStatus.dll</code>, <code>jli.dll</code>).

	Herramientas de Detección		== Herramientas de Detección ==

	* Reglas YARA:		* Reglas YARA:
	** AstarionRAT YARA Rule		** AstarionRAT YARA Rule
Línea 177:		Línea 170:
	* NDR: Identificación de patrones de tráfico C2 inusuales, como balizas HTTP con URLs que imitan telemetría de aplicaciones y User-Agent específicos.		* NDR: Identificación de patrones de tráfico C2 inusuales, como balizas HTTP con URLs que imitan telemetría de aplicaciones y User-Agent específicos.

	Referencias y Fuentes		== Referencias y Fuentes ==

	* Informe Original de Huntress (enlaces proporcionados en el texto del usuario).		* Informe Original de Huntress (enlaces proporcionados en el texto del usuario).
	* MITRE ATT&CK Framework para mapeo de TTPs.		* MITRE ATT&CK Framework para mapeo de TTPs.

	Indicadores de Compromiso / IOC		== Indicadores de Compromiso / IOC ==

	* Dominios:		* Dominios:
	** <code>binclloudapp[.]com</code>		** <code>binclloudapp[.]com</code>
Línea 210:		Línea 201:
	** <code>ea378496135318ac5ad667a032fa4a9686add9d27fe4a7c549c937611b5099e5</code> (Updprofile.aspx - Módulo Matanbuchus)		** <code>ea378496135318ac5ad667a032fa4a9686add9d27fe4a7c549c937611b5099e5</code> (Updprofile.aspx - Módulo Matanbuchus)

	Etiquetas / Categorías		== Etiquetas / Categorías ==

	clickfix social-engineering matanbuchus astarionrat loader rat trojan dll-side-loading reflective-loading lua-scripting credential-access lateral-movement psexec rdp defense-evasion c2-ransomware-preparation windows security-campaign incident-response threat-intelligence advanced-persistent-threat apt malware-as-a-service maas		clickfix social-engineering matanbuchus astarionrat loader rat trojan dll-side-loading reflective-loading lua-scripting credential-access lateral-movement psexec rdp defense-evasion c2-ransomware-preparation windows security-campaign incident-response threat-intelligence advanced-persistent-threat apt malware-as-a-service maas

	[[Categoría:CAMPAÑAS\|CAMPAÑAS]]		[[index.php?title=Categoría:CAMPAÑAS\|CAMPAÑAS]]

Fernando.VH en 18:00 17 feb 2026

2026-02-17T18:00:24Z

← Revisión anterior		Revisión del 18:00 17 feb 2026
Línea 213:		Línea 213:

	clickfix social-engineering matanbuchus astarionrat loader rat trojan dll-side-loading reflective-loading lua-scripting credential-access lateral-movement psexec rdp defense-evasion c2-ransomware-preparation windows security-campaign incident-response threat-intelligence advanced-persistent-threat apt malware-as-a-service maas		clickfix social-engineering matanbuchus astarionrat loader rat trojan dll-side-loading reflective-loading lua-scripting credential-access lateral-movement psexec rdp defense-evasion c2-ransomware-preparation windows security-campaign incident-response threat-intelligence advanced-persistent-threat apt malware-as-a-service maas

			[[Categoría:CAMPAÑAS\|CAMPAÑAS]]

Fernando.VH: Descricion de campaña: clickfix

2026-02-17T18:00:03Z

Descricion de campaña: clickfix

Página nueva

Nombres Alternativos / Aliases

* Campaña ClickFix + Matanbuchus + AstarionRAT
* Operación de Intrusión de Alta Velocidad
* Matanbuchus 3.0 Delivery Campaign
* AstarionRAT Discovery Campaign

Fecha de Detección / Actividad

* Período de Actividad Observado: Febrero de 2026 (fecha de respuesta del equipo de Huntress a la intrusión específica). La técnica ClickFix ha sido prevalente desde 2025.
* Fecha de Divulgación Pública: El informe detallado de Huntress se publicó el 17 de febrero de 2026.
* Estado: Activa, con la técnica ClickFix siendo uno de los métodos de acceso inicial más frecuentes.

Actor de Amenaza (Atribución)

* Atribución: No atribuida formalmente a un grupo específico. Sin embargo, el uso de Matanbuchus 3.0, un cargador premium (Malware-as-a-Service) con un costo de hasta $15,000/mes, sugiere un actor con recursos significativos.
* Tipo de Actor: Grupos de ciberdelincuencia o actores de estados nacionales que realizan operaciones dirigidas de alto valor.
* Sophistication: Alta. La campaña utiliza una cadena de ejecución profundamente estratificada, múltiples capas de ofuscación, un cargador personalizado, un nuevo RAT con amplias capacidades y un movimiento lateral ultrarrápido.
* Motivación: Acceso no autorizado a redes corporativas, robo de credenciales y datos sensibles, establecimiento de persistencia y preparación del terreno para un posible ataque de ransomware o exfiltración de datos.

Resumen Ejecutivo

ClickFixRAT es una sofisticada campaña de intrusión que combina una trampa de ingeniería social conocida como "ClickFix" con un cargador de malware premium (Matanbuchus 3.0) para desplegar un nuevo y poderoso troyano de acceso remoto (RAT) llamado AstarionRAT. La cadena de ataque es inusualmente compleja, comenzando con un usuario engañado para copiar y pegar un comando que inicia una instalación MSI silenciosa. A través de una secuencia de múltiples capas que incluyen carga lateral de DLL (Zillya Antivirus y Java), descifrado de shellcode, un intérprete Lua integrado y un cargador PE reflexivo personalizado, se implanta AstarionRAT en la memoria.

Este RAT cuenta con 24 comandos, incluyendo robo de credenciales, un proxy SOCKS5, escaneo de puertos y carga de código reflexivo, todo ello mientras su tráfico de comando y control (C2) está cifrado con RSA y disfrazado como telemetría legítima de aplicaciones. La respuesta del equipo de Huntress mostró que, tras la implantación, el atacante regresó al día siguiente y se movió lateralmente por la red a una velocidad alarmante, comprometiendo un servidor Windows y dos controladores de dominio en menos de 40 minutos, antes de ser interrumpido. La rápida evolución de las tácticas de ClickFix y el redescubrimiento de Matanbuchus subrayan la naturaleza persistente y adaptable de las amenazas modernas.

Vectores de Ataque

* Ingeniería Social (ClickFix): Engaño al usuario para que ejecute un comando malicioso copiado de un mensaje falso (por ejemplo, un CAPTCHA falso o un mensaje de error).
* Instalación MSI Silenciosa: El comando ejecuta <code>msiexec.exe</code> con el flag <code>/q</code> para instalar el malware sin mostrar interfaz de usuario.
* Carga Lateral de DLL: Abuso de binarios legítimos (<code>core.exe</code> de Zillya Antivirus y <code>java.exe</code>) para cargar DLL maliciosas y evadir detecciones.
* Ejecución de Scripts: Uso de un intérprete Lua embebido para ejecutar scripts que decodifican y lanzan shellcode.

Técnicas, Tácticas y Procedimientos (TTPs)
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica
!Descripción / Implementación
|-
|Acceso Inicial (TA0001)
|Ejecución de Usuario (T1204)
|Ingeniería social ClickFix que engaña al usuario para que ejecute un comando malicioso.
|-
|Ejecución (TA0002)
|Ejecución de Comandos y Scripts (T1059)
|Uso de <code>cmd.exe</code> para ejecutar comandos de movimiento lateral y reconocimiento.
|-
|
|Carga Lateral de DLL (T1574.002)
|Abuso de binarios legítimos (<code>core.exe</code>, <code>java.exe</code>) para cargar DLL maliciosas (<code>SystemStatus.dll</code>, <code>jli.dll</code>).
|-
|Persistencia (TA0003)
|Tarea Programada (T1053.005)
|Creación de la tarea "Mantenimiento de la aplicación" para ejecutar el malware.
|-
|
|Creación de Cuenta (T1136.001)
|Creación de cuentas de administrador locales no autorizadas (<code>DefaultService</code>).
|-
|Escalada de Privilegios (TA0004)
|Manipulación de Token de Acceso (T1134)
|AstarionRAT puede robar tokens de otros procesos para ejecutar código con privilegios elevados.
|-
|Evasión de Defensas (TA0005)
|Archivos o Información Ofuscados (T1027)
|Múltiples capas de ofuscación (código basura, cadenas cifradas con ChaCha20, fuerza bruta de claves, shellcode codificado en Base64 personalizado).
|-
|
|Desofuscación/Decodificación de Archivos (T1140)
|El malware descifra y decodifica sus propias cargas útiles en memoria.
|-
|
|Debilitar Defensas (T1562.001)
|El operador intentó deshabilitar o excluir directorios de Microsoft Defender.
|-
|Acceso a Credenciales (TA0006)
|Robo de Token (T1134.001)
|AstarionRAT tiene la capacidad de robar tokens de acceso para suplantar procesos.
|-
|Descubrimiento (TA0007)
|Descubrimiento de Cuentas (T1087.002)
|El operador ejecutó <code>net groups "Administradores de dominio" /domain</code> para el reconocimiento del dominio.
|-
|
|Descubrimiento de Confianza de Dominio (T1482)
|El operador ejecutó <code>nltest /dclist:</code> para enumerar los controladores de dominio.
|-
|Movimiento Lateral (TA0008)
|Servicios Remotos (T1021.001)
|Uso de RDP (Escritorio Remoto) para moverse a otros sistemas con credenciales robadas.
|-
|
|Transferencia Lateral de Herramientas (T1570)
|Uso de PsExec para copiar y ejecutar herramientas (<code>rdp.bat</code>, <code>java.exe</code>) en otros hosts.
|-
|Comando y Control (TA0011)
|Protocolo de Capa de Aplicación (T1071.001)
|Comunicación C2 de AstarionRAT a través de HTTP, disfrazada de telemetría de aplicación.
|-
|
|Canal Cifrado (T1573.002)
|Uso de cifrado RSA y ChaCha20 para las comunicaciones con el servidor C2.
|}
Flujo de Ataque (Kill Chain)

# Entrega e Ingeniería Social: El usuario visita un sitio web comprometido o malicioso y se encuentra con un mensaje falso (ClickFix) que le insta a copiar y pegar un comando para resolver un problema (ej. un CAPTCHA falso).
# Ejecución Inicial: El usuario pega y ejecuta el comando en una terminal (Win+R, CMD). Este comando lanza <code>msiexec.exe</code> silenciosamente para descargar e instalar un paquete MSI desde un dominio malicioso (<code>binclloudapp[.]com</code>).
# Carga y Ejecución de Matanbuchus: El MSI extrae archivos, incluyendo un binario legítimo de Zillya Antivirus (<code>core.exe</code>) y una DLL maliciosa (<code>SystemStatus.dll</code>). Al ejecutarse, <code>core.exe</code> carga lateralmente <code>SystemStatus.dll</code>, que es el cargador Matanbuchus 3.0.
# Descifrado y Contacto C2 (Matanbuchus): Matanbuchus descifra su configuración y shellcode, se conecta a su servidor C2 (<code>marle[.]io</code>) y descarga el módulo principal.
# Despliegue de la Siguiente Etapa: Matanbuchus entrega una segunda etapa: un paquete con <code>java.exe</code> y una <code>jli.dll</code> maliciosa.
# Ejecución de Lua y Shellcode: <code>java.exe</code> carga <code>jli.dll</code>, que a su vez descifra y ejecuta un script Lua (<code>SySUpd</code>). Este script decodifica un shellcode (cargador PE reflexivo) y lo ejecuta en memoria.
# Carga Reflexiva de AstarionRAT: El shellcode, mediante un cargador de múltiples etapas, finalmente inyecta y ejecuta el RAT AstarionRAT en memoria.
# Establecimiento de Persistencia: El operador crea una tarea programada llamada "Mantenimiento de la aplicación" para asegurar la re-ejecución del malware.
# Reconocimiento y Movimiento Lateral: El operador utiliza AstarionRAT para ejecutar comandos de reconocimiento del dominio. Luego, usando una cuenta de servicio comprometida, accede por RDP a un servidor Windows, crea cuentas de administrador locales (<code>DefaultService</code>) y usa PsExec para propagarse a otros servidores y controladores de dominio.
# Objetivo Final (Interrumpido): El objetivo final, probablemente el despliegue de ransomware o la exfiltración de datos, fue interrumpido por el equipo de respuesta de Huntress durante la fase de movimiento lateral.

Infraestructura Utilizada
{| class="wikitable"
!Tipo
!Ejemplos / Características
!Propósito
|-
|Dominios C2 (ClickFix)
|<code>binclloudapp[.]com</code>, <code>sectigoapps[.]com</code>, <code>solidclouaps[.]com</code>
|Entrega del instalador MSI inicial.
|-
|IP de C2 (ClickFix)
|<code>192.121.23[.]146</code> (AS 9009, M247 Europe SRL)
|Alojamiento de los dominios de entrega inicial.
|-
|Dominio C2 (Matanbuchus)
|<code>marle[.]io</code>
|Descarga del módulo principal de Matanbuchus.
|-
|Dominio C2 (AstarionRAT)
|<code>www.ndibstersoft[.]com</code>
|Servidor de Comando y Control para AstarionRAT.
|-
|Ruta C2 (AstarionRAT)
|<code>/intake/organizations/events?channel=app</code>
|Ruta de sondeo de la baliza, imitando telemetría de aplicaciones.
|-
|Cuentas de Usuario Falsas
|<code>DefaultService</code>
|Creadas en los hosts comprometidos para mantener el acceso.
|}
Objetivos y Sectores Atacados

* Objetivo Principal: Organizaciones que utilizan tecnología Windows y tienen infraestructura de red estándar (servidores, controladores de dominio).
* Sectores Prioritarios: No especificado en el informe, pero el alto costo del cargador Matanbuchus (hasta $15,000/mes) indica que el objetivo era una organización de alto valor.
* Distribución Geográfica: La intrusión analizada no especifica la ubicación de la víctima, pero la técnica ClickFix es global.

Impacto y Riesgo

* Nivel de Riesgo: Crítico. La intrusión demostró la capacidad de comprometer completamente la red, incluyendo los controladores de dominio, en menos de 40 minutos.
* Impacto Operacional: Control total de los sistemas comprometidos, con potencial para interrumpir operaciones o desplegar ransomware.
* Compromiso de Credenciales: Robo de credenciales de servicio y creación de cuentas de administrador no autorizadas.
* Exposición de Datos Sensibles: Acceso a controladores de dominio, lo que implica el posible compromiso de todas las cuentas, políticas y datos de la organización.
* Punto de Apoyo para Ataques Mayores: La rápida progresión del ataque muestra un claro objetivo de preparar el terreno para un evento de ransomware o espionaje.

Recomendaciones de Mitigación

* Capacitación de Usuarios: Educar a los usuarios sobre los riesgos de copiar y pegar comandos de fuentes no confiables, como los falsos CAPTCHA o mensajes de error (técnica ClickFix).
* Políticas de Ejecución de Aplicaciones: Implementar AppLocker o WDAC para restringir la ejecución de binarios desde rutas no autorizadas, como <code>%APPDATA%</code> o <code>%TEMP%</code>.
* Control de Aplicaciones: Deshabilitar el cuadro de diálogo "Ejecutar" (Win+R) para usuarios no administradores mediante directivas de grupo.
* Segmentación de Red: Aislar los sistemas críticos (servidores, controladores de dominio) de las estaciones de trabajo de los usuarios para limitar el movimiento lateral.
* Monitorización de Cuentas y Herramientas: Alertar sobre la creación de cuentas de administrador locales y el uso de herramientas de movimiento lateral como <code>PsExec.exe</code> desde ubicaciones no estándar.
* Actualización de Firmas: Mantener actualizadas las soluciones antimalware para detectar los componentes conocidos de la cadena (hashes de <code>SystemStatus.dll</code>, <code>jli.dll</code>).

Herramientas de Detección

* Reglas YARA:
** AstarionRAT YARA Rule
** Matanbuchus 3.0 Loader YARA Rule
* SIEM: Correlación de eventos para detectar la cadena de comportamiento: ejecución de <code>msiexec.exe</code> con flags inusuales, seguido de procesos hijos anómalos y posteriores conexiones de red a dominios no categorizados.
* EDR: Detección de técnicas de inyección de proceso, carga lateral de DLL no estándar, deshabilitación de ganchos de EDR y la ejecución de comandos de reconocimiento de dominio desde procesos inusuales.
* NDR: Identificación de patrones de tráfico C2 inusuales, como balizas HTTP con URLs que imitan telemetría de aplicaciones y User-Agent específicos.

Referencias y Fuentes

* Informe Original de Huntress (enlaces proporcionados en el texto del usuario).
* MITRE ATT&CK Framework para mapeo de TTPs.

Indicadores de Compromiso / IOC

* Dominios:
** <code>binclloudapp[.]com</code>
** <code>sectigoapps[.]com</code>
** <code>solidclouaps[.]com</code>
** <code>marle[.]io</code>
** <code>www.ndibstersoft[.]com</code>
* URLs:
** <code>hxxp://binclloudapp[.]com/466943</code>
** <code>hxxps://marle[.]io/check/updprofile.aspx</code>
** <code>www.ndibstersoft[.]com/intake/organizations/events?channel=app</code>
* Rutas de Archivos:
** <code>%APPDATA%\AegisLynx Cybernetics Ltd\...\</code>
** <code>%APPDATA%\DocuRay Technologies Srl\...\</code>
** <code>%APPDATA%\HelixShield Technologies ApS\...\</code>
** <code>%LOCALAPPDATA%\Temp\ndvyxgdriggmarrf\</code>
** <code>C:\ProgramData\USOShared\</code>
* Hashes (SHA256):
** <code>de81e2155d797ff729ed3112fd271aa2728e75fc71b023d0d9bb0f62663f33b3</code> (INFO - shellcode cifrado)
** <code>6ffae128e0dbf14c00e35d9ca17c9d6c81743d1fc5f8dd4272a03c66ecc1ad1f</code> (SystemStatus.dll - Matanbuchus)
** <code>68858d3cbc9b8abaed14e85fc9825bc4fffc54e8f36e96ddda09e853a47e3e31</code> (jli.dll - Cargador Lua)
** <code>03c624d251e9143e1c8d90ba9b7fa1f2c5dc041507fd0955bdd4048a0967a829</code> (SySUpd - Script Lua)
** <code>8e54cd12591d67dfbe72e94c1bde6059e1cba157e6786aec63f8f9e3c71fb925</code> (Cargador PE Reflexivo)
** <code>c31c8edbf94c85cc9bc46a5665c45a3556c48d5ad615c0a44e14e5406d80df12</code> (Carga útil Etapa 1)
** <code>eecc83add16f3d513a9701e9a646b1885014229ac6f86addd6b10afb64d1d2af</code> (Beacon.exe - AstarionRAT)
** <code>ea378496135318ac5ad667a032fa4a9686add9d27fe4a7c549c937611b5099e5</code> (Updprofile.aspx - Módulo Matanbuchus)

Etiquetas / Categorías

clickfix social-engineering matanbuchus astarionrat loader rat trojan dll-side-loading reflective-loading lua-scripting credential-access lateral-movement psexec rdp defense-evasion c2-ransomware-preparation windows security-campaign incident-response threat-intelligence advanced-persistent-threat apt malware-as-a-service maas