ClickFix introduce cargas útiles a través de la caché del navegador para eludir los límites de ejecución de Windows.

Un nuevo tipo de ataque ClickFix utiliza sitios web comprometidos para engañar a los usuarios y lograr que ejecuten una carga maliciosa almacenada en la caché del navegador.

"En lugar de descargar y ejecutar cargas remotas, como en el patrón de ataque habitual, en este caso, los sitios web precargan un script en la caché del navegador, disfrazado de archivo PNG", explicó el equipo de Inteligencia de Amenazas de Microsoft en una publicación en X.

De esta forma, cuando se le pide a la víctima que pegue y ejecute un comando malicioso —como ocurre con los ataques ClickFix—, se ejecuta el contenido del sitio web que ya está almacenado en la caché del dispositivo.

Lo destacable de este método de manipulación de la caché del navegador es que permite a los atacantes ocultar el script malicioso y eludir las restricciones de caracteres impuestas por la función Ejecutar de Windows (también conocida como cuadro de diálogo Ejecutar). El cuadro de diálogo Ejecutar de Windows, que se activa con Win + R, trunca cualquier texto que supere los 260 caracteres aproximadamente.

En la cadena de ataque observada por Microsoft, la carga útil preparada es un script de Visual Basic (VBScript), que luego invoca "cmd.exe" para enumerar recursivamente los archivos cuyos nombres comienzan con "f_" en la carpeta de perfil del navegador, como "%LOCALAPPDATA%\Mozilla\Firefox\Profiles".

"Compara la longitud en bytes de cada archivo con un valor esperado", explicó Microsoft. "En lugar de buscar un marcador dentro del contenido, como en ataques anteriores, copia una entrada de caché del mismo tamaño en %LOCALAPPDATA%\Temp\t.vbs, agregando a la carga útil en caché una extensión VBScript, y luego la ejecuta con wscript.exe. La salida de copia y los errores se suprimen. El tamaño esperado varía según la variante".