Protéjase del nuevo ataque FileFix que engañará a los usuarios de Windows para que instalen el malware StealC

Un sofisticado método de ataque, conocido como el ataque FileFix, se dirige actualmente a usuarios de Windows, engañándolos para que instalen el ladrón de información StealC. Han surgido diversas campañas de ingeniería social que emplean esta técnica para ejecutar el ataque. Este artículo pretende explicar la mecánica del ataque FileFix y ofrecer estrategias para proteger sus dispositivos.

Entendiendo el ataque FileFix: Cómo se implementa el malware StealC

Basándose en la iteración anterior que eludió la Marca de la Web de Windows (MoTW), el ataque FileFix actual explota vulnerabilidades en el sistema de archivos para descargar una imagen maliciosa que activa el ladrón de información StealC, similar a EDDIESTEALER. Una vez ejecutado, este método presenta riesgos significativos, ya que opera dentro de la memoria del PC, evitando la detección de las medidas de seguridad tradicionales.

A continuación se muestra un desglose detallado de cómo se desarrolla el ataque FileFix:

La víctima es dirigida a un sitio de phishing, a menudo camuflado como una alerta de suspensión de cuenta de Facebook. Se le solicita al usuario copiar una ruta de archivo específica en el Explorador de archivos para supuestamente ver un informe de incidentes. Sin embargo, esta ruta oculta una carga maliciosa, lo que la hace parecer legítima para el usuario.

Aviso de suspensión de cuenta falsa de Facebook — Fuente de la imagen: Acronis

Tras su ejecución, el ataque activa un comando de PowerShell para descargar un archivo de imagen con un script oculto incorporado.
PowerShell decodifica posteriormente el contenido oculto y carga el malware StealC en la memoria del sistema, sin dejar rastro en el disco y haciendo casi imposible su detección. Este ladrón de información ataca datos confidenciales como cookies del navegador, credenciales almacenadas e información de monederos de criptomonedas.

Si bien el ataque FileFix presenta de manera destacada el ladrón de información StealC y las páginas de phishing de Facebook, su marco es lo suficientemente versátil como para reutilizarse en varias operaciones de phishing destinadas a implementar diferentes cepas de malware.

Cómo mantenerse protegido contra el ataque FileFix

A pesar de la astucia del ataque FileFix, puede tomar medidas proactivas para mejorar su seguridad. A continuación, encontrará recomendaciones prácticas para protegerse contra esta campaña maliciosa:

Evite copiar y pegar comandos: Evite copiar y pegar rutas de archivos o comandos en cualquier parte del sistema operativo, incluyendo Ejecutar, CMD o el Explorador de archivos. Siempre que sea posible, escriba los comandos manualmente para evitar la ejecución accidental de código malicioso.
Mejore la seguridad de PowerShell: Dado que muchos ataques explotan scripts de PowerShell, refuerce su configuración de seguridad para evitar la ejecución de scripts no autorizados. Consulte una guía completa para proteger PowerShell.
Seleccione un antivirus con análisis de memoria: Elija una solución antivirus capaz de analizar la memoria en tiempo real. Programas como Bitdefender y ESET ofrecen potentes funciones de análisis de memoria.
Utilice una cuenta de usuario estándar: realice las tareas diarias utilizando una cuenta de usuario estándar en lugar de una cuenta de administrador, ya que esta última es más susceptible a ataques de malware que requieren privilegios elevados.

Pasos a seguir si ha ejecutado el comando malicioso

Si sospecha que su dispositivo ha sido comprometido por el ataque FileFix, es fundamental actuar de inmediato. Siga estos pasos sistemáticamente para proteger su PC y sus cuentas:

Desconectarse de Internet: Desconectarse inmediatamente de la red ayuda a evitar que el ladrón de información transmita los datos robados a su servidor de comando y control (C2).Actuar con prontitud aumentará sus posibilidades de mitigar los daños.
Cambie sus contraseñas: Con un dispositivo diferente y seguro, cambie las contraseñas de todas las cuentas a las que acceda desde su PC comprometida. Hágalo sin demora, ya que los atacantes suelen actuar rápidamente tras obtener acceso a las credenciales.
Ejecutar análisis sin conexión de Microsoft Defender: Este análisis utiliza un entorno de confianza para realizar una comprobación completa del sistema. Acceda a la opción de análisis a través de la aplicación Seguridad de Windows: Protección contra virus y amenazas → Opciones de análisis → Antivirus de Microsoft Defender (Análisis sin conexión).

Opciones de análisis de Microsoft Defender

Supervisión de procesos de inicio y en ejecución: Tras el análisis, inspeccione los elementos de inicio y los procesos en ejecución para identificar y eliminar cualquier archivo malicioso. Utilice Autoruns y el Explorador de procesos para verificar la legitimidad de los procesos.

Ejecuciones automáticas que muestran una lista de procesos

Restablecer o restaurar Windows: Si las medidas anteriores no resuelven el problema, considere restablecer o restaurar Windows para eliminar cualquier programa malicioso persistente. Elija entre una restauración del sistema o una instalación limpia según sus necesidades.

En resumen, ataques como FileFix utilizan tácticas de phishing e ingeniería social para ejecutar sus comandos maliciosos. Manténgase siempre alerta y evite solicitudes no solicitadas que puedan poner en peligro la seguridad de su sistema. El uso de herramientas de seguridad en línea fiables también puede mejorar su capacidad para detectar amenazas.

Fuente e imágenes