ClearFake
Qué es
Es un marco de JavaScript malicioso desplegado en sitios web comprometidos. Su objetivo es entregar malware adicional mediante la técnica de descarga por drive-by.
Cómo llega
Llega a la víctima a través de sitios web comprometidos. Utiliza ingeniería social para engañar al usuario y ejecutar una actualización falsa del navegador web.
Qué hace una vez dentro
Actúa como vector de entrega para desplegar robadores de criptomonedas como Amatera y ZigCryptoStealer. También distribuye NetSupport Manager y un robador de criptomonedas que usa un controlador vulnerable para eliminar herramientas de EDR.
A quién ataca
A quienes visitan sitios web comprometidos. Reportes públicos recientes la registran en Brasil, India, Ucrania, Estados Unidos e Indonesia, incluido un organismo de gobierno ucraniano. En México, los feeds públicos registraron 8 sitios .mx comprometidos que la servían entre el 4 y el 15 de octubre de 2026.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Spearphishing Link | T1566.002 |
| Ejecución | PowerShell | T1059.001 |
| Ejecución | Malicious Link | T1204.001 |
| Sigilo | Process Injection | T1055 |
| Sigilo | Process Hollowing | T1055.012 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Rundll32 | T1218.011 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Recolección | Data from Local System | T1005 |
| Recolección | Keylogging | T1056.001 |
| Recolección | Screen Capture | T1113 |
| Recolección | Clipboard Data | T1115 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Proxy | T1090 |
| Comando y control | Asymmetric Cryptography | T1573.002 |
Fuente: AlienVault OTX: técnicas que aparecen en al menos 2 de 6 reportes públicos recientes.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 1,771 |
| URLs | 38 |
| Hashes de archivos | 1 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 21-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
← Todo el catálogo de armamento