WordlistLoader distribuye Amatera a través de ClickFix, SynkLoader roba contraseñas de Windows.

Investigadores de ciberseguridad han detectado dos nuevas familias de malware, WordlistLoader y SynkLoader, que se utilizan para distribuir malware avanzado y, probablemente, vender acceso a grupos de ransomware.

Según los hallazgos de Gen Digital, WordlistLoader se utiliza para distribuir Amatera Stealer (también conocido como ACR Stealer o AcridRain Stealer) mediante campañas de ClearFake, que emplean la técnica ClickFix (también conocida como FakeCaptcha) para engañar a las víctimas y que ejecuten comandos maliciosos con el pretexto de completar verificaciones CAPTCHA.

"Una vez que el usuario hace clic en la casilla 'No soy un robot', se le guía a través del conocido flujo de ClickFix, donde se copia un comando malicioso en su portapapeles y se le indica a la víctima que lo pegue en el cuadro de diálogo Ejecutar de Windows y lo ejecute, lo que lleva a la descarga de WordlistLoader y, finalmente, a la ejecución de Amatera", explicó el investigador de seguridad Vojtěch Krejsa.