En el resumen de esta semana, el equipo de CTI de Tanium analiza cómo los autores de amenazas están haciendo un uso cada vez más indebido de herramientas legítimas con fines maliciosos. A continuación, analizamos el reciente aumento de las campañas de ClickFix relacionadas con el malware GHOSTPULSE, para luego examinar una intrusión sofisticada atribuida al grupo BlueNoroff.
Los ciberdelincuentes se aprovechan de herramientas legítimas
Una publicación reciente de Cisco Talos, titulada « », analiza cómo los ciberdelincuentes están utilizando cada vez más herramientas legítimas con fines maliciosos. Esta tendencia al alza pone de relieve la necesidad de que las organizaciones supervisen los patrones de uso de las herramientas y adopten estrategias de detección basadas en el comportamiento.
Cisco Talos comienza explicando un ejemplo en el que una persona recibió una alerta sobre una detección procedente de su solución de gestión de información y eventos de seguridad (SIEM). Esta detección se configuró para activarse cuando se ejecutaran determinadas herramientas del sistema en rápida sucesión. Se activó durante la noche, lo que suscitó nuevas sospechas. El equipo logró aislar los sistemas y realizar un seguimiento de la actividad.
¿Qué son los LOLBins?
Según Cisco Talos, los autores de amenazas recurren con frecuencia a los binarios «living off the land» (LOLBins), que son herramientas preinstaladas que pueden aprovecharse para llevar a cabo acciones maliciosas sin necesidad de descargar ni instalar software adicional. Dado que estas herramientas ya están instaladas en los sistemas operativos y se utilizan habitualmente para actividades legítimas, resulta difícil detectar un uso malintencionado de las mismas.
Además de LOLBins, los delincuentes también están haciendo un uso indebido de herramientas comerciales y de código abierto. Un ejemplo es DonPAPI, una herramienta de código abierto que se utiliza para automatizar la extracción remota de credenciales. Se ha observado en múltiples proyectos.
[Lea también: 15 términos de ciberseguridad que usted (y su director general) ya deberían conocer]
Tipos de herramientas que suelen ser objeto de uso indebido
El informe de Cisco Talos enumera las herramientas que se utilizan con mayor frecuencia con fines maliciosos en la actualidad, entre las que se incluyen:
- PsExec forma parte del conjunto de herramientas Sysinternals de Microsoft y permite a los usuarios ejecutar comandos tanto en sistemas locales como remotos. Los grupos de ransomware suelen utilizar PsExec para ejecutar cargas maliciosas en varios sistemas de un mismo dominio.
- Impacket es una biblioteca de código abierto en Python destinada a la realización de auditorías de red. Los autores de amenazas suelen utilizar Impacket para infiltrarse en entornos y desplazarse lateralmente por ellos.
- Mimikatz es una herramienta de extracción de credenciales que permite obtener contraseñas en texto sin cifrar. Su uso es habitual entre los especialistas en pruebas de penetración y los equipos rojos. Sin embargo, los ciberdelincuentes suelen utilizar Mimikatz para obtener datos de inicio de sesión y otras credenciales con el fin de facilitar el movimiento lateral .
Cuando las herramientas de gestión del acceso remoto se convierten en vectores de amenaza
Cisco Talos también ha detectado un aumento en el uso indebido de herramientas de supervisión y gestión remotas (RMM).
Estas herramientas suelen ser utilizadas por equipos de TI o proveedores de servicios gestionados (MSP) para facilitar el acceso remoto a los sistemas con fines de asistencia técnica; no obstante, es fácil comprender por qué los autores de amenazas podrían estar interesados en un acceso remoto sencillo. Los atacantes están utilizando ahora estas herramientas para mantener la persistencia y evitar ser detectados.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Cada vez resulta más complicado distinguir entre una actividad administrativa legítima y un comportamiento malintencionado. Esta difuminación de los límites hace que la detección tradicional basada en firmas resulte menos eficaz, y que las detecciones basadas en el comportamiento y en las anomalías cobren mayor importancia.
Mantenerse informado sobre los últimos casos de uso indebido de herramientas de código abierto y comerciales es fundamental para defenderse de esta amenaza.
Las campañas de ClickFix siguen cobrando impulso
Elastic Security Labs informa de un aumento de las campañas de ClickFix, en particular aquellas que utilizan el cargador de malware GHOSTPULSE para distribuir troyanos de acceso remoto (RAT) y programas de robo de información. Aunque ClickFix lleva en activo desde principios de 2024, su actividad se ha intensificado recientemente.
Elastic ha detallado una campaña en la que se ha expuesto la cadena de ataque completa, destacando los componentes implicados, las técnicas utilizadas y el malware que finalmente se distribuyó.
¿En qué consisten los ataques ClickFix?
Los ataques de tipo «ClickFix» se basan en una ingeniería social de tipo « », que engaña a los usuarios para que realicen acciones peligrosas imitando procesos legítimos con el fin de ganarse su confianza y rebajar sus defensas.
Por ejemplo, este tipo de ataque puede presentarse en forma de un mensaje CAPTCHA falso que solicita al usuario que pegue y ejecute código en su dispositivo.
¿Cómo funcionan los ataques de tipo «ClickFix»?
Tal y como destaca Elastic, ClickFix suele ser el punto de entrada en una cadena de ataque de varias etapas. En una de las campañas analizadas, la progresión del flujo de ataque fue la siguiente:
Paso 1: Phishing con ClickFix
- El ataque « » comienza con una página de phishing () que imita una ventana emergente de Captcha de Cloudflare.
- Se engaña a las víctimas para que peguen y ejecuten código de PowerShell
- Este código descarga un archivo ZIP que contiene los componentes del cargador GHOSTPULSE
Paso 2: Activación del cargador GHOSTPULSE
- Descifra un archivo que se envió junto con el malware de la fase 1
- Extrae el código «Stage 2 », que comprueba si hay procesos específicos en ejecución
Paso 3: Implementación ARECHCLIENT2
- Se centra en las contraseñas, las cookies y los datos de automatización almacenados en el navegador
- Realiza análisis de perfiles y reconocimiento del sistema
- Ejecuta comandos
Elastic determinó que la página original de Captcha estaba alojada en dos dominios, ambos vinculados a una agencia de publicidad digital. Consideran que el atacante debió de haber comprometido el servidor que aloja los dominios para facilitar su actividad.
Informes relacionados del CTI sobre ClickFix
Si desea obtener más información sobre la evolución de ClickFix a lo largo de las últimas campañas, consulte estos resúmenes anteriores de CTI:
- Publicado en April 30, 2025: Analiza cómo actores estatales de Corea del Norte, Irán y Rusia han adoptado recientemente la técnica «ClickFix» para distribuir malware mediante ingeniería social
- Publicado en March 12, 2025: Destaca una campaña de phishing al estilo «ClickFix» que utiliza SharePoint y la API de Microsoft Graph para desplegar de forma encubierta un agente Havoc Demon modificado
- Publicado en June 26, 2024: Incluye información sobre el uso de ClickFix en campañas generalizadas de phishing para distribuir malware como Vidar Stealer, en las que TA571 enviaron más de 100,000 correos electrónicos utilizando documentos falsos como señuelo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este aumento de los ataques de ClickFix pone de manifiesto cómo están evolucionando las tácticas de ingeniería social y de distribución de malware. Esta técnica se basa en la confianza y la curiosidad de la víctima, lo que no solo dificulta su detección, sino que también aumenta las probabilidades de engañar a las víctimas en comparación con los métodos sobre los que ya han recibido formación y capacitación.
Cabe señalar que ClickFix no solo lo utilizan ciberdelincuentes de bajo nivel, sino también grupos más sofisticados patrocinados por Estados. Se recomienda a los equipos de seguridad que se centren en la formación de los usuarios y que utilicen la detección basada en el comportamiento para identificar actividades sospechosas.
BlueNoroff se centra en los dispositivos macOS
Investigadores de Huntress han analizado recientemente una sofisticada campaña de intrusión dirigida a usuarios de macOS en la zona Web3 . Huntress atribuye la campaña al grupo BlueNoroff.
El ataque se valió de técnicas de ingeniería social y de una aplicación infectada con un troyano para instalar malware capaz de sustraer credenciales, llevar a cabo actividades de vigilancia y garantizar su persistencia. Todo comenzó cuando un ciberdelincuente engañó a un empleado para que se uniera a una reunión de Zoom falsificada en la que aparecían imágenes generadas por IA (deepfakes) de los altos directivos de la empresa.
Aprovecharse de la confianza: obtener acceso mediante una invitación falsa a una reunión
El contacto inicial se produjo a través de Telegram, donde el atacante —haciéndose pasar por un contacto externo— invitó al empleado a una conversación en directo. El mensaje incluía un enlace de Calendly que, en apariencia, servía para programar una sesión de Google Meet, pero que, en realidad, redirigía a un dominio de Zoom falsificado.
Unas semanas más tarde, cuando el empleado se unió a la reunión, se encontró con varios «deepfakes» de altos directivos de su propia empresa, además del contacto externo. Los «deepfakes» indicaron al empleado que descargara una extensión de Zoom porque su micrófono no funcionaba. El archivo descargado era un AppleScript que abría la página web legítima del SDK de Zoom, al tiempo que descargaba de forma silenciosa una carga útil desde un sitio web malicioso.
Según Huntress, este script desactivará el registro del historial de bash, se asegurará de que Rosetta 2 esté instalado e intentará obtener y verificar la contraseña del usuario. Al final, borrará el historial del shell para dificultar el análisis.
Análisis del malware: herramientas, tácticas e implantes
Huntress ha identificado varios archivos binarios maliciosos en el equipo de la víctima. Puede encontrar más detalles sobre cada uno de estos binarios en , en el informe de Huntress.
- Implante persistente
Un archivo binario denominado «Telegram 2», escrito en Nim, actúa como mecanismo de persistencia e inicia la puerta trasera. Es ligero y tiene una funcionalidad limitada; permite ejecutar comandos de «echo», ejecutarse a través de/bin/bash, iniciar un shell interactivo y establecer persistencia. - Backdoor
La puerta trasera Root Troy V4 (RTV), escrita en Go, ejecuta una carga útil de AppleScript para descargar un implante adicional. Huntress observó que este comando se ejecutó seis veces entre la incorporación del dispositivo y el aislamiento del host. RTV permite la ejecución remota de código, incluso mientras el sistema se encuentra en modo de suspensión. - Cargador con dos cargas útiles adicionales: . Se descarga un archivo binario denominado «a» a través de la carga útil de AppleScript. Acepta como argumentos otro archivo binario y una contraseña, descifra dos cargas útiles incrustadas y puede sobrescribir todos los archivos del directorio actual con ceros. En particular, Huntress destacó la capacidad de inyección en dos partes —algo poco habitual en macOS— como una característica destacada:
1. La primera carga útil descifrada es un implante basado en Nim que se utiliza para las comunicaciones de mando y control.2. La segunda es una aplicación mínima basada en Swift, que probablemente se utiliza para dar soporte a la funcionalidad del implante. - Keylogger
El atacante instaló XScreen, una herramienta para el registro de pulsaciones de teclas, la grabación de pantalla y la captura de datos del portapapeles. - Programa de robo de información
El programa de robo de información «airmond» ataca carteras de criptomonedas analizando las extensiones instaladas en el navegador y extrayendo los datos asociados. - Archivo binario señuelo
El archivo binario final, NetChk, está prácticamente vacío. Genera continuamente números aleatorios —probablemente como señuelo para distraer a los analistas durante la investigación—.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
BlueNoroff ha adaptado sus estrategias para sacar partido al ecosistema Web3 . La capacidad del grupo para crear y utilizar malware complejo para macOS pone de manifiesto, una vez más, su sofisticación y su apuesta por las capacidades multiplataforma.
Es evidente que macOS se está convirtiendo en un objetivo cada vez más popular, especialmente para los autores de amenazas avanzadas. Además de sus sofisticadas tácticas técnicas, el grupo también se mantiene al día de las últimas tendencias del sector mediante el uso de deepfakes y técnicas avanzadas de ingeniería social.
El informe de Huntress, disponible en , es mucho más detallado para quienes busquen un análisis más técnico.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
