ClickFix Smuggles Payloads Through Browser Cache to Bypass Windows Run Limits
The Hacker News · 6 oct, 07:22
Microsoft ha identificado una variante avanzada del ataque ClickFix que usa el caché del navegador para burlar el límite de 260 caracteres del diálogo Ejecutar de Windows. El payload se disfraza de imagen PNG en sitios web comprometidos y, cuando la víctima ejecuta el comando malicioso, descarga un script VBScript que inicia una cadena de infección que roba credenciales y ejecuta código .NET inyectado en procesos legítimos.
La cadena de ataque comienza cuando el VBScript enumerarecursivamente archivos del caché del navegador identificando coincidencias por tamaño, lo que evita marcadores detectables. El script localiza un archivo de caché del perfil de Firefox, lo copia a un archivo temporal con extensión .vbs y lo ejecuta. Luego descarga un script PowerShell desde cocojambo[.]us[.]com/alfa que actúa como conducto para descargar la siguiente etapa (cab.dat) desde servidores externo.s
El payload final es un ensamblado .NET que se carga en memoria e inyecta código en el proceso legítimo timeout.exe para robar credenciales del navegador y dispositivo. El proceso inyectado también inicia PowerShell para obtener una etapa secundaria desde capsysnet[.]vg e iniciar conexiones a ciliabula[.]cc. Este ataque aprovecha herramientas estándar de Windows que los usuarios confían, lo que dificulta la detección. Según CrowdStrike, los incidentes con señuelos de CAPTCHA falso aumentaron un 563% en 2025.
Puntos clave
- Payload se pre-carga en caché del navegador disfrazado de archivo PNG
- Burla límite de 260 caracteres del diálogo Ejecutar usando búsqueda por tamaño en lugar de marcadores
- Cadena multi-etapa: VBScript → PowerShell → .NET assembly con inyección de código
- Roba credenciales del navegador y dispositivo, se conecta a servidores de C2
- Variante ClickFix avanzada; aumento del 563% en ataques con CAPTCHA falso en 2025