Un instalador falso de Spotify que esconde sus instrucciones en una cadena de bloques
Los instaladores son un blanco fácil. Nadie los examina. Usted quería Spotify, apareció un archivo llamado Spotify, hizo doble clic y Windows mostró el cuadro de siempre preguntando si estaba seguro.
El Adversary Pursuit Group de Blackpoint publicó el 18 de septiembre el análisis de una herramienta de acceso remoto que ha bautizado ChainScript y que encontró mientras desmontaba una campaña ClickFix. La cadena empieza en una de esas páginas que le piden copiar algo y ejecutarlo, y termina en un instalador de Windows lanzado mediante msiexec.exe. Hasta ahora han aparecido cuatro compilaciones. Dos de ellas, ComponentTask33 y UpdateDigital, se presentan como Spotify; HostShared se hace pasar por Zoom Workplace y OrchidViolet66 por Microsoft Teams. El instalador deja sin ruido un entorno Node.js y arranca un agente en JavaScript detrás de fases ocultas de PowerShell y VBScript.
A partir de ahí, el operador dispone de un símbolo del sistema y una sesión de PowerShell en su equipo, puede leer, escribir y borrar archivos, hacer capturas de su escritorio, descargar nuevas cargas y ejecutar el JavaScript que quiera dentro del agente. También busca monederos de criptomonedas, tanto aplicaciones instaladas como extensiones del navegador. Lo que más interesa a los investigadores es de dónde saca las órdenes: en lugar de una dirección fija en el código, ChainScript consulta un contrato inteligente en la cadena Polygon para averiguar a qué servidor conectarse. Bloquear un dominio no sirve de nada, porque los operadores pueden apuntar el contrato a otro sitio y todas las máquinas infectadas les siguen.
El remedio a todo esto está en el primerísimo paso. Una página web que le pide pegar un comando en el cuadro Ejecutar o en una terminal para demostrar que es humano, arreglar el vídeo o terminar una actualización está mintiendo, siempre, sin excepción. Y el software gratuito se coge de la empresa que lo fabrica o de la Microsoft Store, no del primer resultado que devuelva el buscador. La comprobación de actualizaciones de aplicaciones de Tendvane pasa por winget, así que Spotify, Zoom y los demás llegan desde sus paquetes oficiales y no desde algo encontrado por ahí.