DOUBLECUP : ClickFix + PNG ocultos para entregar CountLoader y DeviceManager RAT

Una nueva campaña maliciosa llamada DOUBLECUP explota la técnica ClickFix y PNG en caché para distribuir dos malware: CountLoader y DeviceManager RAT. Anatomía de un ataque en dos etapas.

¿Qué

The Hacker News reporta una campaña activa llamada DOUBLECUP — un nuevo loader-as-a-service (LaaS) de origen ruso — que combina dos técnicas para desplegar su carga útil: ClickFix (ingeniería social de tipo "copia y pega este comando para resolver el problema") y archivos PNG almacenados en caché en el navegador para ocultar y entregar el payload.

El objetivo final: instalar dos malwares distintos, CountLoader y DeviceManager RAT (Remote Access Trojan, hasta ahora no documentado).

Cómo funciona

DOUBLECUP opera en dos etapas distintas — de ahí su nombre:

1. ClickFix - el cebo social + almacenamiento en caché La víctima aterriza en una página maliciosa que la invita a "resolver un problema" copiando y pegando un comando en su terminal o PowerShell. Pero este señuelo ClickFix también hace que PNG maliciosos se almacenen en caché en el navegador de la víctima — de forma transparente, sin acción adicional. Estos PNG incorporan el payload mediante esteganografía (payload oculto en los datos de la imagen).

2. Ejecución de la cadena El comando ClickFix ejecuta el primer componente, que aprovecha los PNG almacenados en caché para desplegar CountLoader. CountLoader carga luego DeviceManager RAT, proporcionando acceso remoto completo a la máquina comprometida.

Quién está afectado

Cualquier persona que ejecute comandos de "solución de problemas" encontrados en una página web o recibidos a través de un mensaje. Las víctimas típicas de ClickFix: usuarios de Windows, desarrolladores, técnicos informáticos — perfiles acostumbrados al terminal y que, por tanto, bajan la guardia.

Qué hacer

• Nunca ejecutar un comando copiado de una página web sin entenderlo completamente
• Sensibilizar a los equipos técnicos: ClickFix apunta precisamente a personas cómodas con el terminal
• Verificar las reglas de EDR/AV para detectar comportamientos de carga de PNG seguido de ejecución de código

A hacer ahora: Bloquear la ejecución de scripts no firmados en PowerShell (Set-ExecutionPolicy RemoteSigned). Y formar a los equipos para reconocer ClickFix — la mejor defensa contra la ingeniería social sigue siendo el conocimiento del ataque.