Diferencia entre revisiones de «ClickFixRAT»

* Campaña ClickFix + Matanbuchus + AstarionRAT

* Operación de Intrusión de Alta Velocidad

* AstarionRAT Discovery Campaign

* Período de Actividad Observado: Febrero de 2026 (fecha de respuesta del equipo de Huntress a la intrusión específica). La técnica ClickFix ha sido prevalente desde 2025.

* Fecha de Divulgación Pública: El informe detallado de Huntress se publicó el 17 de febrero de 2026.

* Estado: Activa, con la técnica ClickFix siendo uno de los métodos de acceso inicial más frecuentes.

* Atribución: No atribuida formalmente a un grupo específico. Sin embargo, el uso de Matanbuchus 3.0, un cargador premium (Malware-as-a-Service) con un costo de hasta $15,000/mes, sugiere un actor con recursos significativos.

* Tipo de Actor: Grupos de ciberdelincuencia o actores de estados nacionales que realizan operaciones dirigidas de alto valor.

* Motivación: Acceso no autorizado a redes corporativas, robo de credenciales y datos sensibles, establecimiento de persistencia y preparación del terreno para un posible ataque de ransomware o exfiltración de datos.

ClickFixRAT es una sofisticada campaña de intrusión que combina una trampa de ingeniería social conocida como "ClickFix" con un cargador de malware premium (Matanbuchus 3.0) para desplegar un nuevo y poderoso troyano de acceso remoto (RAT) llamado AstarionRAT. La cadena de ataque es inusualmente compleja, comenzando con un usuario engañado para copiar y pegar un comando que inicia una instalación MSI silenciosa. A través de una secuencia de múltiples capas que incluyen carga lateral de DLL (Zillya Antivirus y Java), descifrado de shellcode, un intérprete Lua integrado y un cargador PE reflexivo personalizado, se implanta AstarionRAT en la memoria.

* Ejecución de Scripts: Uso de un intérprete Lua embebido para ejecutar scripts que decodifican y lanzan shellcode.

{| class="wikitable"

!Táctica (MITRE ATT&CK)

|Uso de cifrado RSA y ChaCha20 para las comunicaciones con el servidor C2.

|}

# Entrega e Ingeniería Social: El usuario visita un sitio web comprometido o malicioso y se encuentra con un mensaje falso (ClickFix) que le insta a copiar y pegar un comando para resolver un problema (ej. un CAPTCHA falso).

# Ejecución Inicial: El usuario pega y ejecuta el comando en una terminal (Win+R, CMD). Este comando lanza <code>msiexec.exe</code> silenciosamente para descargar e instalar un paquete MSI desde un dominio malicioso (<code>binclloudapp[.]com</code>).

# Objetivo Final (Interrumpido): El objetivo final, probablemente el despliegue de ransomware o la exfiltración de datos, fue interrumpido por el equipo de respuesta de Huntress durante la fase de movimiento lateral.

{| class="wikitable"

!Tipo

|Creadas en los hosts comprometidos para mantener el acceso.

|}

* Objetivo Principal: Organizaciones que utilizan tecnología Windows y tienen infraestructura de red estándar (servidores, controladores de dominio).

* Sectores Prioritarios: No especificado en el informe, pero el alto costo del cargador Matanbuchus (hasta $15,000/mes) indica que el objetivo era una organización de alto valor.

* Distribución Geográfica: La intrusión analizada no especifica la ubicación de la víctima, pero la técnica ClickFix es global.

* Nivel de Riesgo: Crítico. La intrusión demostró la capacidad de comprometer completamente la red, incluyendo los controladores de dominio, en menos de 40 minutos.

* Impacto Operacional: Control total de los sistemas comprometidos, con potencial para interrumpir operaciones o desplegar ransomware.

* Punto de Apoyo para Ataques Mayores: La rápida progresión del ataque muestra un claro objetivo de preparar el terreno para un evento de ransomware o espionaje.

* Capacitación de Usuarios: Educar a los usuarios sobre los riesgos de copiar y pegar comandos de fuentes no confiables, como los falsos CAPTCHA o mensajes de error (técnica ClickFix).

* Políticas de Ejecución de Aplicaciones: Implementar AppLocker o WDAC para restringir la ejecución de binarios desde rutas no autorizadas, como <code>%APPDATA%</code> o <code>%TEMP%</code>.

* Actualización de Firmas: Mantener actualizadas las soluciones antimalware para detectar los componentes conocidos de la cadena (hashes de <code>SystemStatus.dll</code>, <code>jli.dll</code>).

* Reglas YARA:

** AstarionRAT YARA Rule

* NDR: Identificación de patrones de tráfico C2 inusuales, como balizas HTTP con URLs que imitan telemetría de aplicaciones y User-Agent específicos.

* Informe Original de Huntress (enlaces proporcionados en el texto del usuario).

* MITRE ATT&CK Framework para mapeo de TTPs.

* Dominios:

** <code>binclloudapp[.]com</code>

** <code>ea378496135318ac5ad667a032fa4a9686add9d27fe4a7c549c937611b5099e5</code> (Updprofile.aspx - Módulo Matanbuchus)