ClickFixRAT

De CiberWiki
Revisión del 18:02 17 feb 2026 de Fernando.VH (discusión | contribs.)
(difs.) ← Revisión anterior | Revisión actual (difs.) | Revisión siguiente → (difs.)

Nombres Alternativos / Aliases

  • Campaña ClickFix + Matanbuchus + AstarionRAT
  • Operación de Intrusión de Alta Velocidad
  • Matanbuchus 3.0 Delivery Campaign
  • AstarionRAT Discovery Campaign

Fecha de Detección / Actividad

  • Período de Actividad Observado: Febrero de 2026 (fecha de respuesta del equipo de Huntress a la intrusión específica). La técnica ClickFix ha sido prevalente desde 2025.
  • Fecha de Divulgación Pública: El informe detallado de Huntress se publicó el 17 de febrero de 2026.
  • Estado: Activa, con la técnica ClickFix siendo uno de los métodos de acceso inicial más frecuentes.

Actor de Amenaza (Atribución)

  • Atribución: No atribuida formalmente a un grupo específico. Sin embargo, el uso de Matanbuchus 3.0, un cargador premium (Malware-as-a-Service) con un costo de hasta $15,000/mes, sugiere un actor con recursos significativos.
  • Tipo de Actor: Grupos de ciberdelincuencia o actores de estados nacionales que realizan operaciones dirigidas de alto valor.
  • Sophistication: Alta. La campaña utiliza una cadena de ejecución profundamente estratificada, múltiples capas de ofuscación, un cargador personalizado, un nuevo RAT con amplias capacidades y un movimiento lateral ultrarrápido.
  • Motivación: Acceso no autorizado a redes corporativas, robo de credenciales y datos sensibles, establecimiento de persistencia y preparación del terreno para un posible ataque de ransomware o exfiltración de datos.

Resumen Ejecutivo

ClickFixRAT es una sofisticada campaña de intrusión que combina una trampa de ingeniería social conocida como "ClickFix" con un cargador de malware premium (Matanbuchus 3.0) para desplegar un nuevo y poderoso troyano de acceso remoto (RAT) llamado AstarionRAT. La cadena de ataque es inusualmente compleja, comenzando con un usuario engañado para copiar y pegar un comando que inicia una instalación MSI silenciosa. A través de una secuencia de múltiples capas que incluyen carga lateral de DLL (Zillya Antivirus y Java), descifrado de shellcode, un intérprete Lua integrado y un cargador PE reflexivo personalizado, se implanta AstarionRAT en la memoria.

Este RAT cuenta con 24 comandos, incluyendo robo de credenciales, un proxy SOCKS5, escaneo de puertos y carga de código reflexivo, todo ello mientras su tráfico de comando y control (C2) está cifrado con RSA y disfrazado como telemetría legítima de aplicaciones. La respuesta del equipo de Huntress mostró que, tras la implantación, el atacante regresó al día siguiente y se movió lateralmente por la red a una velocidad alarmante, comprometiendo un servidor Windows y dos controladores de dominio en menos de 40 minutos, antes de ser interrumpido. La rápida evolución de las tácticas de ClickFix y el redescubrimiento de Matanbuchus subrayan la naturaleza persistente y adaptable de las amenazas modernas.

Vectores de Ataque

  • Ingeniería Social (ClickFix): Engaño al usuario para que ejecute un comando malicioso copiado de un mensaje falso (por ejemplo, un CAPTCHA falso o un mensaje de error).
  • Instalación MSI Silenciosa: El comando ejecuta msiexec.exe con el flag /q para instalar el malware sin mostrar interfaz de usuario.
  • Carga Lateral de DLL: Abuso de binarios legítimos (core.exe de Zillya Antivirus y java.exe) para cargar DLL maliciosas y evadir detecciones.
  • Ejecución de Scripts: Uso de un intérprete Lua embebido para ejecutar scripts que decodifican y lanzan shellcode.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK) Técnica Descripción / Implementación
Acceso Inicial (TA0001) Ejecución de Usuario (T1204) Ingeniería social ClickFix que engaña al usuario para que ejecute un comando malicioso.
Ejecución (TA0002) Ejecución de Comandos y Scripts (T1059) Uso de cmd.exe para ejecutar comandos de movimiento lateral y reconocimiento.
Carga Lateral de DLL (T1574.002) Abuso de binarios legítimos (core.exe, java.exe) para cargar DLL maliciosas (SystemStatus.dll, jli.dll).
Persistencia (TA0003) Tarea Programada (T1053.005) Creación de la tarea "Mantenimiento de la aplicación" para ejecutar el malware.
Creación de Cuenta (T1136.001) Creación de cuentas de administrador locales no autorizadas (DefaultService).
Escalada de Privilegios (TA0004) Manipulación de Token de Acceso (T1134) AstarionRAT puede robar tokens de otros procesos para ejecutar código con privilegios elevados.
Evasión de Defensas (TA0005) Archivos o Información Ofuscados (T1027) Múltiples capas de ofuscación (código basura, cadenas cifradas con ChaCha20, fuerza bruta de claves, shellcode codificado en Base64 personalizado).
Desofuscación/Decodificación de Archivos (T1140) El malware descifra y decodifica sus propias cargas útiles en memoria.
Debilitar Defensas (T1562.001) El operador intentó deshabilitar o excluir directorios de Microsoft Defender.
Acceso a Credenciales (TA0006) Robo de Token (T1134.001) AstarionRAT tiene la capacidad de robar tokens de acceso para suplantar procesos.
Descubrimiento (TA0007) Descubrimiento de Cuentas (T1087.002) El operador ejecutó net groups "Administradores de dominio" /domain para el reconocimiento del dominio.
Descubrimiento de Confianza de Dominio (T1482) El operador ejecutó nltest /dclist: para enumerar los controladores de dominio.
Movimiento Lateral (TA0008) Servicios Remotos (T1021.001) Uso de RDP (Escritorio Remoto) para moverse a otros sistemas con credenciales robadas.
Transferencia Lateral de Herramientas (T1570) Uso de PsExec para copiar y ejecutar herramientas (rdp.bat, java.exe) en otros hosts.
Comando y Control (TA0011) Protocolo de Capa de Aplicación (T1071.001) Comunicación C2 de AstarionRAT a través de HTTP, disfrazada de telemetría de aplicación.
Canal Cifrado (T1573.002) Uso de cifrado RSA y ChaCha20 para las comunicaciones con el servidor C2.

Flujo de Ataque (Kill Chain)

  1. Entrega e Ingeniería Social: El usuario visita un sitio web comprometido o malicioso y se encuentra con un mensaje falso (ClickFix) que le insta a copiar y pegar un comando para resolver un problema (ej. un CAPTCHA falso).
  2. Ejecución Inicial: El usuario pega y ejecuta el comando en una terminal (Win+R, CMD). Este comando lanza msiexec.exe silenciosamente para descargar e instalar un paquete MSI desde un dominio malicioso (binclloudapp[.]com).
  3. Carga y Ejecución de Matanbuchus: El MSI extrae archivos, incluyendo un binario legítimo de Zillya Antivirus (core.exe) y una DLL maliciosa (SystemStatus.dll). Al ejecutarse, core.exe carga lateralmente SystemStatus.dll, que es el cargador Matanbuchus 3.0.
  4. Descifrado y Contacto C2 (Matanbuchus): Matanbuchus descifra su configuración y shellcode, se conecta a su servidor C2 (marle[.]io) y descarga el módulo principal.
  5. Despliegue de la Siguiente Etapa: Matanbuchus entrega una segunda etapa: un paquete con java.exe y una jli.dll maliciosa.
  6. Ejecución de Lua y Shellcode: java.exe carga jli.dll, que a su vez descifra y ejecuta un script Lua (SySUpd). Este script decodifica un shellcode (cargador PE reflexivo) y lo ejecuta en memoria.
  7. Carga Reflexiva de AstarionRAT: El shellcode, mediante un cargador de múltiples etapas, finalmente inyecta y ejecuta el RAT AstarionRAT en memoria.
  8. Establecimiento de Persistencia: El operador crea una tarea programada llamada "Mantenimiento de la aplicación" para asegurar la re-ejecución del malware.
  9. Reconocimiento y Movimiento Lateral: El operador utiliza AstarionRAT para ejecutar comandos de reconocimiento del dominio. Luego, usando una cuenta de servicio comprometida, accede por RDP a un servidor Windows, crea cuentas de administrador locales (DefaultService) y usa PsExec para propagarse a otros servidores y controladores de dominio.
  10. Objetivo Final (Interrumpido): El objetivo final, probablemente el despliegue de ransomware o la exfiltración de datos, fue interrumpido por el equipo de respuesta de Huntress durante la fase de movimiento lateral.

Infraestructura Utilizada

Tipo Ejemplos / Características Propósito
Dominios C2 (ClickFix) binclloudapp[.]com, sectigoapps[.]com, solidclouaps[.]com Entrega del instalador MSI inicial.
IP de C2 (ClickFix) 192.121.23[.]146 (AS 9009, M247 Europe SRL) Alojamiento de los dominios de entrega inicial.
Dominio C2 (Matanbuchus) marle[.]io Descarga del módulo principal de Matanbuchus.
Dominio C2 (AstarionRAT) www.ndibstersoft[.]com Servidor de Comando y Control para AstarionRAT.
Ruta C2 (AstarionRAT) /intake/organizations/events?channel=app Ruta de sondeo de la baliza, imitando telemetría de aplicaciones.
Cuentas de Usuario Falsas DefaultService Creadas en los hosts comprometidos para mantener el acceso.

Objetivos y Sectores Atacados

  • Objetivo Principal: Organizaciones que utilizan tecnología Windows y tienen infraestructura de red estándar (servidores, controladores de dominio).
  • Sectores Prioritarios: No especificado en el informe, pero el alto costo del cargador Matanbuchus (hasta $15,000/mes) indica que el objetivo era una organización de alto valor.
  • Distribución Geográfica: La intrusión analizada no especifica la ubicación de la víctima, pero la técnica ClickFix es global.

Impacto y Riesgo

  • Nivel de Riesgo: Crítico. La intrusión demostró la capacidad de comprometer completamente la red, incluyendo los controladores de dominio, en menos de 40 minutos.
  • Impacto Operacional: Control total de los sistemas comprometidos, con potencial para interrumpir operaciones o desplegar ransomware.
  • Compromiso de Credenciales: Robo de credenciales de servicio y creación de cuentas de administrador no autorizadas.
  • Exposición de Datos Sensibles: Acceso a controladores de dominio, lo que implica el posible compromiso de todas las cuentas, políticas y datos de la organización.
  • Punto de Apoyo para Ataques Mayores: La rápida progresión del ataque muestra un claro objetivo de preparar el terreno para un evento de ransomware o espionaje.

Recomendaciones de Mitigación

  • Capacitación de Usuarios: Educar a los usuarios sobre los riesgos de copiar y pegar comandos de fuentes no confiables, como los falsos CAPTCHA o mensajes de error (técnica ClickFix).
  • Políticas de Ejecución de Aplicaciones: Implementar AppLocker o WDAC para restringir la ejecución de binarios desde rutas no autorizadas, como %APPDATA% o %TEMP%.
  • Control de Aplicaciones: Deshabilitar el cuadro de diálogo "Ejecutar" (Win+R) para usuarios no administradores mediante directivas de grupo.
  • Segmentación de Red: Aislar los sistemas críticos (servidores, controladores de dominio) de las estaciones de trabajo de los usuarios para limitar el movimiento lateral.
  • Monitorización de Cuentas y Herramientas: Alertar sobre la creación de cuentas de administrador locales y el uso de herramientas de movimiento lateral como PsExec.exe desde ubicaciones no estándar.
  • Actualización de Firmas: Mantener actualizadas las soluciones antimalware para detectar los componentes conocidos de la cadena (hashes de SystemStatus.dll, jli.dll).

Herramientas de Detección

  • Reglas YARA:
    • AstarionRAT YARA Rule
    • Matanbuchus 3.0 Loader YARA Rule
  • SIEM: Correlación de eventos para detectar la cadena de comportamiento: ejecución de msiexec.exe con flags inusuales, seguido de procesos hijos anómalos y posteriores conexiones de red a dominios no categorizados.
  • EDR: Detección de técnicas de inyección de proceso, carga lateral de DLL no estándar, deshabilitación de ganchos de EDR y la ejecución de comandos de reconocimiento de dominio desde procesos inusuales.
  • NDR: Identificación de patrones de tráfico C2 inusuales, como balizas HTTP con URLs que imitan telemetría de aplicaciones y User-Agent específicos.

Referencias y Fuentes

  • Informe Original de Huntress (enlaces proporcionados en el texto del usuario).
  • MITRE ATT&CK Framework para mapeo de TTPs.

Indicadores de Compromiso / IOC

  • Dominios:
    • binclloudapp[.]com
    • sectigoapps[.]com
    • solidclouaps[.]com
    • marle[.]io
    • www.ndibstersoft[.]com
  • URLs:
    • hxxp://binclloudapp[.]com/466943
    • hxxps://marle[.]io/check/updprofile.aspx
    • www.ndibstersoft[.]com/intake/organizations/events?channel=app
  • Rutas de Archivos:
    • %APPDATA%\AegisLynx Cybernetics Ltd\...\
    • %APPDATA%\DocuRay Technologies Srl\...\
    • %APPDATA%\HelixShield Technologies ApS\...\
    • %LOCALAPPDATA%\Temp\ndvyxgdriggmarrf\
    • C:\ProgramData\USOShared\
  • Hashes (SHA256):
    • de81e2155d797ff729ed3112fd271aa2728e75fc71b023d0d9bb0f62663f33b3 (INFO - shellcode cifrado)
    • 6ffae128e0dbf14c00e35d9ca17c9d6c81743d1fc5f8dd4272a03c66ecc1ad1f (SystemStatus.dll - Matanbuchus)
    • 68858d3cbc9b8abaed14e85fc9825bc4fffc54e8f36e96ddda09e853a47e3e31 (jli.dll - Cargador Lua)
    • 03c624d251e9143e1c8d90ba9b7fa1f2c5dc041507fd0955bdd4048a0967a829 (SySUpd - Script Lua)
    • 8e54cd12591d67dfbe72e94c1bde6059e1cba157e6786aec63f8f9e3c71fb925 (Cargador PE Reflexivo)
    • c31c8edbf94c85cc9bc46a5665c45a3556c48d5ad615c0a44e14e5406d80df12 (Carga útil Etapa 1)
    • eecc83add16f3d513a9701e9a646b1885014229ac6f86addd6b10afb64d1d2af (Beacon.exe - AstarionRAT)
    • ea378496135318ac5ad667a032fa4a9686add9d27fe4a7c549c937611b5099e5 (Updprofile.aspx - Módulo Matanbuchus)

Etiquetas / Categorías

clickfix social-engineering matanbuchus astarionrat loader rat trojan dll-side-loading reflective-loading lua-scripting credential-access lateral-movement psexec rdp defense-evasion c2-ransomware-preparation windows security-campaign incident-response threat-intelligence advanced-persistent-threat apt malware-as-a-service maas

Obtenido de «https://darfe.es/ciberwiki/index.php?title=ClickFixRAT&oldid=2761»