TerminalFix: un CAPTCHA falso abre la red a los hackers

Los investigadores de Microsoft han alertado de que la campaña maliciosa TerminalFix sigue activa. Los atacantes piratean sitios web y colocan en ellos una ventana falsa de verificación CAPTCHA de Cloudflare. Al visitante le piden que confirme que no es un robot, pero, en vez de realizar una comprobación normal, debe copiar y ejecutar un comando en Windows Terminal o PowerShell. A la persona solo le queda entregar voluntariamente a su ordenador una instrucción que no entiende. Todo un clásico: la seguridad finge preocuparse y los estafadores consiguen un ejecutor.

Microsoft llamó a la campaña TerminalFix por su parecido con el ataque ClickFix. En el esquema tradicional de ClickFix, la víctima es dirigida al cuadro «Ejecutar» de Windows; TerminalFix, en cambio, utiliza Windows Terminal o PowerShell. Esto permite ejecutar secuencias de comandos complejas de varias líneas con más probabilidades de éxito.

A partir de ahí ya no hablamos del simple robo de contraseñas, sino de un ataque completo con varias fases. Tras ejecutar el comando, se descargan dos archivos en el dispositivo: un ejecutable legítimo y una biblioteca DLL maliciosa. El ejecutable inicia la DLL mediante la técnica de DLL sideloading: sustituye la biblioteca que un programa de confianza carga como si fuera la auténtica.

La DLL maliciosa instala un componente oculto llamado «client.py». Se trata de un implante en Python creado específicamente para este fin. Establece una conexión WebSocket cifrada con la infraestructura de los atacantes y les proporciona acceso a la red interna de la organización mediante un proxy SOCKS5. SOCKS5 es un protocolo de red que permite dirigir conexiones a través del ordenador infectado, como si el atacante estuviera dentro de la red corporativa.

En la práctica, el dispositivo infectado se convierte en un punto de acceso remoto. Los atacantes pueden conectarse a los equipos internos, buscar controladores de dominio, ejecutar comandos, conservar el acceso tras un reinicio y utilizar el ordenador como punto de partida para avanzar por la red.

Microsoft subraya el especial peligro de este esquema: el túnel inverso proporciona una vía directa hacia la infraestructura interna. Las funciones de reconocimiento y tunelización observadas podrían permitir detectar y atacar otros sistemas desde el dispositivo ya comprometido.

Sin embargo, los investigadores no han detectado que los atacantes se hayan desplazado efectivamente por la red, así que por ahora se desconoce para qué pensaban utilizar el acceso obtenido. Pero eso no es motivo para relajarse. Microsoft recomienda considerar los dispositivos infectados como posibles puntos de entrada a la red e investigar posibles movimientos de los atacantes, así como filtraciones de credenciales.

Tras la infección inicial suele llegar la fase de control manual: los delincuentes exploran la red y deciden cuál será su siguiente paso. Pueden elevar sus privilegios, desactivar las medidas de protección, extraer datos confidenciales y desplegar ransomware, un programa malicioso que cifra los archivos y exige dinero para recuperarlos. Así que esta CAPTCHA falsa quizá no sea una prueba para comprobar que eres humano, sino para comprobar si estás dispuesto a ejecutar la orden de otro.