Los ciberdelincuentes están utilizando una técnica de ingeniería social conocida como ClickFix para propagar malware a través de una pantalla azul de la muerte Windows falsa, o BSOD. La campaña, identificada por la empresa de seguridad Securonix como PHALT#BLYX, se dirige principalmente a la industria hotelera en Europa, comenzando con correos electrónicos de phishing que imitan notificaciones de Booking.com sobre cancelaciones de reservas.
Las víctimas reciben mensajes falsos urgentes sobre reservas canceladas, con enlaces que conducen a páginas imitadoras del sitio de reservas. Al acceder a estas páginas, los usuarios se enfrentan a mensajes de error simulados, seguidos de una animación de pantalla azul completa que ocupa todo el navegador, indicándoles que ejecuten comandos para solucionar el supuesto problema crítico.
Este enfoque aprovecha el reconocimiento inmediato de BSOD como una señal de una falla grave del sistema, lo que lleva a los usuarios menos experimentados a seguir instrucciones maliciosas sin dudar. El método convence a las víctimas de copiar y pegar scripts en el cuadro de diálogo Executar de Windows, iniciando la infección.
Cómo funciona el ataque paso a paso
Los atacantes envían correos electrónicos de phishing disfrazados de comunicaciones oficiales de Booking.com, advirtiendo sobre cancelaciones o problemas con las reservas. Los correos electrónicos de Esses incluyen botones para verificar detalles, que redireccionan a sitios web falsos muy convincentes.
Al cargar la página falsa, aparece un mensaje de carga largo que le anima a hacer clic en el botón de actualización. La acción Essa activa la simulación de pantalla azul, con instrucciones detalladas para presionar combinaciones de teclas y pegar comandos.
- El script malicioso se copia automáticamente al portapapeles.
- Siguiendo las instrucciones, el usuario ejecuta un comando de PowerShell que descarga archivos adicionales.
- Luego, las herramientas legítimas de Windows, como MSBuild, compilan y ejecutan la carga útil integrada.
Esta cadena de varias etapas le permite eludir las defensas básicas, ya que utiliza procesos confiables del sistema operativo.
Detalles del malware instalado
La carga útil final es DCRat, un troyano de acceso remoto asociado con grupos rusos o de habla rusa. El malware Esse otorga control total al atacante, permitiendo el monitoreo remoto y la ejecución de comandos adicionales.
Una vez instalado, DCRat desactiva Windows Defender para evitar la detección, agrega exclusiones de antivirus y establece persistencia a través de archivos en el directorio de inicio. Ele también intenta repetidamente elevar privilegios, solicitando a Controle, Conta y Usuário hasta que se obtiene el permiso administrativo.
El troyano recopila información del sistema, como hardware, software instalado y títulos de ventanas activas. Além además roba datos del portapapeles, credenciales y permite la inyección de otro malware.
Los expertos señalan que el uso de herramientas nativas Windows dificulta la identificación mediante soluciones de seguridad tradicionales.
El sector hotelero como principal objetivo
La campaña se centra en los empleados de hoteles y empresas hoteleras de Europa, explorando la urgencia típica de este entorno. Reservas y las cancelaciones son temas comunes, lo que aumenta la credibilidad de los correos electrónicos falsos.
El momento coincide con periodos de alta demanda, como vacaciones, cuando los equipos atienden un mayor volumen de consultas. Ataques similar a ClickFix ya ha explorado marcas confiables, pero esta variante con BSOD representa una evolución en sofisticación.
Los investigadores indican vínculos con actores rusos, basándose en el lenguaje de partes del código y el uso de DCRat, previamente asociados con campañas contra objetivos específicos.
Medidas de prevención recomendadas
Los usuarios deben tener cuidado con los mensajes de reserva inesperados consultando directamente en el sitio web oficial Booking.com. Evite haga clic en enlaces de correo electrónico; ingrese la dirección manualmente en el navegador.
En caso de errores sospechosos del navegador, ciérrelo completamente en lugar de seguir las instrucciones en pantalla. Los casos reales de BSOD de Telas no ofrecen pasos de recuperación detallados con comandos para ejecutar.
- Actualice los sistemas y antivirus periódicamente.
- Habilite las protecciones contra phishing en los navegadores.
- Formar equipos en ingeniería social.
- Utilice la autenticación multifactor en cuentas críticas.
Las empresas del sector hotelero pueden implementar filtros avanzados en los correos electrónicos y monitorear el tráfico sospechoso.
Evolución de las tácticas ClickFix
La técnica ClickFix ha ganado popularidad desde 2024, con variantes que simulan actualizaciones del navegador o CAPTCHA falsos. La versión Essa incorpora el BSOD para aumentar la sensación de urgencia y pánico.
A diferencia de las infecciones automáticas, el método depende de la acción manual de la víctima, lo que reduce las posibilidades de detección temprana mediante herramientas automatizadas. La combinación con señuelos temáticos hace que el ataque sea más específico y eficaz.
Los analistas predicen variaciones similares al explorar otras marcas populares en sectores vulnerables.
Características técnicas de la campaña.
El dominio utilizado para el alojamiento incluye elementos como 2fa-bns.com, registrado para ocultar actividades maliciosas. El PowerShell inicial descarga un proyecto MSBuild que ejecuta la carga útil en la memoria, utilizando el proceso hueco en procesos legítimos.
La persistencia se produce a través del archivo .url en la carpeta Startup, lo que garantiza la ejecución después del reinicio. El malware comprueba los privilegios e insiste en elevarlos si es necesario.