Los datos personales y financieros de los usuarios son uno de los principales objetivos de los ciberdelincuentes. Frente a esta situación, las estafas digitales representan un riesgo cada vez mayor, especialmente por la cantidad de información sensible que puede quedar expuesta durante un engaño.
Uno de los métodos de ciberataque basados en ingeniería social que ha llamado la atención es ClickFix, una técnica que utiliza anuncios maliciosos en Reddit para inducir a los usuarios a ejecutar código peligroso en sus propios computadores.
En este caso, las víctimas eran dirigidas a una página web que simulaba ser la de HBO Max y, al seguir sus instrucciones, podían terminar instalando malware. Según información compartida por Europa Press, esta campaña formaría parte de una operación más amplia denominada PasteSwitch.
¿Cómo funciona el engaño?
Esta campaña fue descubierta por investigadores de la firma de seguridad HudsonRock, quienes identificaron anuncios falsos en Reddit que dirigían a los usuarios a una página que imitaba la de HBO Max. Sin embargo, detrás de esa apariencia legítima se encontraba un engaño de ingeniería social diseñado para inducir a las propias víctimas a ejecutar código malicioso en sus computadores y, en cierto modo, ‘hackearse’ a sí mismas.
El ataque se basa en ‘engatusar’ al usuario para que haga clic y, a continuación, siga las instrucciones que aparecen en pantalla para copiar un código y pegarlo finalmente en la ventana de ‘Símbolo del sistema’ o PowerShell de Windows, o en la app Terminal de Mac.
Es decir, el usuario termina abriendo las aplicaciones del sistema de alguno de los dos sistemas operativos y pegando un código que descarga e instala automáticamente un malware diseñado para robar información.
Este programa puede sustraer contraseñas, sesiones iniciadas y datos de carteras de criptomonedas. Debido a que el código es ejecutado por el propio usuario mediante una aplicación legítima del sistema, algunos de estos ataques pueden eludir los antivirus y otras medidas de seguridad.
Además, de acuerdo con información difundida por la agencia, el malware que se instala cambia según el sistema operativo desde el que opera el usuario. En macOS se instalan infostealers y carteras falsas para robar frases de recuperación, mientras que en Windows se usa otra cadena; también hay clippers, un método que sustituye direcciones de criptomonedas en el portapapeles.
Este ataque basa su efectividad en los usuarios que están distraídos, con prisa, bajo estrés o confiados. Para llamar su atención y engañarlos, los ciberdelincuentes comprometieron la cuenta oficial de HBO Max en Reddit para publicar 108 anuncios falsos en unas 48 horas.
De esta forma, los ciberdelincuentes aprovecharon la confianza que transmite la plataforma de streaming para que los usuarios bajaran la guardia ante posibles señales de phishing. Además, al encontrar un anuncio que promocionaba una supuesta aplicación nativa de HBO Max para macOS, con la oferta de tres meses gratuitos, la curiosidad podía llevarlos a pulsar el enlace.
Por el momento, la agencia Europa Press señaló que se desconoce cuántos usuarios pudieron haber hecho clic en estos anuncios o cuántos de ellos terminaron comprometidos.
Warner Bros. Discovery, propietaria de HBO, no respondió a las preguntas de TechCrunch sobre el incidente. Por su parte, Reddit confirmó al medio especializado que recientemente detectó que una cuenta de HBO Max autorizada para publicar anuncios en la plataforma había sido utilizada para difundir contenido publicitario con enlaces maliciosos. Tras identificar la actividad, la compañía bloqueó la cuenta y retiró los anuncios.