ClickFix: la estafa que te obliga a infectarte con solo copiar y pegar

ClickFix no es una vulnerabilidad de Windows ni un fallo en una aplicación concreta. Es una técnica de ingeniería social que depende por completo de las acciones del propio usuario, y se ha convertido en la forma más común en que los atacantes logran el acceso inicial a los sistemas ^FEM. Hacia 2025-2026, tanto grupos de ciberdelincuencia como actores patrocinados por estados la han adoptado a gran escala, utilizando páginas falsas de verificación de Google reCAPTCHA y Cloudflare para engañar a las víctimas y hacer que ejecuten comandos maliciosos en sus propias máquinas ^FSP.

Cómo funciona ClickFix: el engaño en cuatro pasos

El ataque sigue un patrón constante en casi todas las campañas documentadas ^EFS:

1. El señuelo: Un usuario visita un sitio web comprometido o fraudulento y se encuentra con un mensaje de verificación falso: un reCAPTCHA de Google falsificado, una página falsa de Cloudflare "Verifica que eres humano", un mensaje falso de actualización del navegador o una pantalla de error fraudulenta de QuickBooks o Booking.com ^EFE.
2. Instrucción de copiar y pegar: La página muestra instrucciones como: "Presiona Win + R, luego presiona Ctrl + V, luego presiona Enter" para completar la verificación ^ER.
3. La carga útil oculta: Lo que se ha copiado al portapapeles del usuario es un comando malicioso de PowerShell, mshta o curl que descarga y ejecuta un cargador de malware desde un servidor remoto ^HES.
4. Ejecución: El comando se ejecuta con los propios privilegios del usuario. Debido a que el usuario mismo lo pegó y ejecutó, las herramientas de detección de endpoints a menudo no lo marcan como una intrusión ^P.

Esta técnica también se conoce como pastejacking porque explota el portapapeles como vector de infección ^RN.

Cargas útiles distribuidas en las campañas ClickFix

Los atacantes han utilizado señuelos ClickFix para distribuir una amplia gama de malware, a menudo en cadenas de infección de múltiples etapas:

• HijackLoader: Un cargador de primera etapa observado en cadenas ClickFix desde al menos junio de 2025, frecuentemente seguido por el ladrón de información DeerStealer ^SM.
• CastleLoader (también conocido como CastleBot): Un framework de malware como servicio activo desde principios de 2025. Una campaña utilizó un sitio web falso de eliminación de fondos para distribuir CastleLoader, que luego instaló NetSupport RAT y un ladrón .NET personalizado que se dirige a credenciales de navegador, billeteras de criptomonedas y sesiones de Telegram ^FMH.
• NetSupport RAT: Una herramienta de administración remota legítima reutilizada por los atacantes para acceso de puerta trasera persistente ^FES.
• StealC: Un troyano ladrón de información que se dirige a credenciales de navegador y billeteras de criptomonedas ^CC.
• Amatera: Un ladrón de información distribuido a través de una campaña ClickFix que combinaba CAPTCHAs falsos con scripts firmados de Microsoft App-V ^T.
• Ladrón basado en Rust: Documentado en campañas ClickFix polimórficas que comenzaron a finales de 2025 ^F.
• DeerStealer: Observado como la carga útil ejecutable final después de HijackLoader ^S.
• ResiLoader: Un cargador recién documentado diseñado específicamente para terminar más de 140 procesos de antivirus y herramientas de seguridad en la máquina de la víctima, desactivando efectivamente las defensas antes de que se ejecute la carga útil final ^HP.

Métodos de distribución

Los atacantes aprovechan una amplia combinación de infraestructura para alojar y entregar ataques ClickFix:

• Almacenamiento Cloudflare R2: Utilizado para alojar binarios de cargas útiles maliciosas ^H.
• Subdominios de Cloudflare Pages: Abusados para servir páginas CAPTCHA falsas con el certificado de confianza de la propia Cloudflare ^H.
• Alojamiento de Dedik Services Limited: Observado como proveedor de alojamiento para infraestructura de comando y control de ClickFix ^H.
• Dominios expirados: Dominios expirados registrados o reregistrados utilizados para la recolección de credenciales y la entrega de cargas útiles ^H.
• Sitios web comprometidos: El vector inicial más común. Los atacantes inyectan JavaScript malicioso o iframes en sitios legítimos (a menudo a través de vulnerabilidades de plugins o exploits de CMS) que redirigen a los visitantes a páginas de destino de ClickFix ^FEM.
• Envenenamiento SEO y malvertising: Sitios de instaladores falsos y portales de software pirateado promocionados a través de resultados de motores de búsqueda ^MS.
• Explotación de vulnerabilidad de Ghost CMS: En mayo de 2026, los atacantes abusaron de una vulnerabilidad crítica de inyección SQL en Ghost CMS (CVE‑2026‑26980) para secuestrar más de 700 sitios web legítimos de educación y tecnología e inyectar mensajes ClickFix ^M.

Importancia de la amenaza: por qué ClickFix domina

• El Informe de Defensa Digital 2025 de Microsoft identificó a ClickFix como el método de acceso inicial número 1, responsable del 47% de todos los ataques observados por Microsoft Defender Experts durante el año anterior, superando al phishing tradicional (35%) ^FCMB.
• La telemetría de ESET registró un aumento del 517% en los ataques ClickFix solo en la primera mitad de 2025 ^FCO.
• En una campaña documentada por Menlo Labs, ClickFix entregó cargas útiles multiplataforma: comandos de PowerShell para Windows, scripts .command para macOS y scripts Bash para Linux desde un único señuelo JavaScript polimórfico ^F.
• El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) emitió una alerta sectorial sobre ClickFix en julio de 2026, confirmando el alcance de la técnica en infraestructuras críticas ^H.
• El Grupo Insikt de Recorded Future evaluó en marzo de 2026 que ClickFix probablemente seguirá siendo el vector de acceso inicial dominante durante todo 2026 ^B.

Medidas defensivas: lo que recomiendan los investigadores

Debido a que ClickFix explota el comportamiento humano en lugar de una vulnerabilidad de software, la defensa se basa en gran medida en controles técnicos y la concienciación del usuario ^HEM:

• Restringir la ejecución de PowerShell: Bloquear a los usuarios no administrativos la ejecución de scripts de PowerShell. Establecer la política de ejecución en Restricted a través de Directiva de Grupo y registrar todos los eventos de ejecución de PowerShell ^HE.
• Deshabilitar el cuadro de Ejecutar de Windows: Una modificación del registro (política NoRun) puede evitar que se use Win+R para pegar y ejecutar comandos ^EH.
• Tratar las instrucciones no solicitadas del símbolo del sistema como banderas rojas: Ningún sitio web o servicio legítimo pide a un usuario que presione Win+R, pegue un comando y presione Enter. Este debería ser el elemento principal de la formación en concienciación del usuario ^HFM.
• Bloquear mshta, cscript y curl de la ejecución en contexto de usuario: Usar AppLocker o Windows Defender Application Control para restringir los intérpretes de scripts ^HE.
• Implementar reglas de detección de endpoints: Monitorear procesos padre inusuales de powershell.exe -ep bypass, linaje de procesos desde explorer.exe a intérpretes de scripts y artefactos del registro RunMRU ^FU.
• Usar funciones de seguridad del portapapeles: Las protecciones de portapapeles a nivel de navegador pueden prevenir el mecanismo central de copiar y pegar del que depende ClickFix.

La función Paste Protect de Opera

Opera introdujo una función nativa de Paste Protect (disponible en Opera 100+ en Windows, macOS y Linux) que intercepta y bloquea los ataques de pastejacking basados en portapapeles. Cuando un sitio web intenta escribir programáticamente una carga útil sospechosa en el portapapeles y luego solicita al usuario que la pegue, Paste Protect advierte al usuario y bloquea la operación. Esto mitiga directamente la técnica central de ClickFix sin necesidad de instalar ninguna extensión.