Interlock Ransomware: Ataques ClickFix que suplantan herramientas IT para infiltrarse en redes corporativas
El grupo de ransomware Interlock ha evolucionado sus tácticas de ataque, incorporando una nueva estrategia denominada ClickFix. Esta técnica se basa en la suplantación de herramientas legítimas de TI para engañar a los empleados y obtener acceso a redes corporativas, con el objetivo final de desplegar malware de cifrado de archivos. Este enfoque representa un riesgo significativo debido a su sofisticación y al uso de ingeniería social avanzada.
¿Qué son los ataques ClickFix?
Los ataques ClickFix imitan aplicaciones o utilidades de TI comunes, como soluciones de soporte remoto, actualizadores de software o herramientas de diagnóstico. Los ciberdelincuentes distribuyen estos falsos programas a través de:
- Correos electrónicos de phishing diseñados para parecer comunicaciones internas de TI.
- Sitios web comprometidos o clones de portales legítimos de descarga.
- Mensajes en plataformas de colaboración empresarial (Slack, Microsoft Teams).
Una vez ejecutado, el software malicioso simula funcionalidades reales para evitar sospechas, mientras en segundo plano establece persistencia, realiza reconocimiento de la red y descarga cargas útiles adicionales, como el ransomware Interlock.
Técnicas técnicas empleadas por Interlock
El grupo utiliza múltiples capas de ofuscación y evasión:
- Empaquetamiento avanzado: Los binarios están cifrados para evitar análisis estático.
- Living-off-the-land (LOTL): Abuso de herramientas legítimas del sistema (PowerShell, WMI) para moverse lateralmente.
- Comunicación C2 enmascarada: Tráfico blendido con servicios en la nube (AWS, Azure) para evitar detección.
Según investigaciones recientes, el ransomware Interlock también implementa:
- Algoritmos de cifrado híbrido (RSA + AES) para bloquear archivos.
- Eliminación de copias de sombra (Volume Shadow Copies) para impedir recuperación.
- Scripts personalizados para deshabilitar soluciones de seguridad endpoint.
Implicaciones para la seguridad corporativa
Este tipo de ataques plantea desafíos únicos:
- Dificultad de detección: Al imitar herramientas legítimas, el malware evade controles basados en firmas.
- Mayor superficie de ataque: Cualquier empleado con privilegios básicos puede convertirse en vector de entrada.
- Impacto operacional: El tiempo de respuesta se reduce debido a la fase de reconocimiento silencioso.
Recomendaciones de mitigación
Las organizaciones deben implementar medidas proactivas:
- Adoptar modelos Zero Trust para limitar movimientos laterales.
- Implementar listas blancas de aplicaciones (AppLocker) para restringir ejecutables no autorizados.
- Capacitar a los equipos de TI y usuarios finales en identificación de señales de phishing avanzado.
- Monitorear anomalías en el uso de herramientas administrativas (PsExec, RDP).
Para más detalles técnicos sobre este vector de ataque, consulta el informe completo en BleepingComputer.
