Cómo funciona ClickFix: el engaño en cuatro pasos

El ataque sigue un patrón constante en casi todas las campañas documentadas :

1. El señuelo: Un usuario visita un sitio web comprometido o fraudulento y se encuentra con un mensaje de verificación falso: un reCAPTCHA de Google falsificado, una página falsa de Cloudflare "Verifica que eres humano", un mensaje falso de actualización del navegador o una pantalla de error fraudulenta de QuickBooks o Booking.com .
2. Instrucción de copiar y pegar: La página muestra instrucciones como: "Presiona Win + R, luego presiona Ctrl + V, luego presiona Enter" para completar la verificación .
3. La carga útil oculta: Lo que se ha copiado al portapapeles del usuario es un comando malicioso de PowerShell, mshta o curl que descarga y ejecuta un cargador de malware desde un servidor remoto .
4. Ejecución: El comando se ejecuta con los propios privilegios del usuario. Debido a que el usuario mismo lo pegó y ejecutó, las herramientas de detección de endpoints a menudo no lo marcan como una intrusión .

Esta técnica también se conoce como pastejacking porque explota el portapapeles como vector de infección .

Cargas útiles distribuidas en las campañas ClickFix

Los atacantes han utilizado señuelos ClickFix para distribuir una amplia gama de malware, a menudo en cadenas de infección de múltiples etapas:

• HijackLoader: Un cargador de primera etapa observado en cadenas ClickFix desde al menos junio de 2025, frecuentemente seguido por el ladrón de información DeerStealer .
• CastleLoader (también conocido como CastleBot): Un framework de malware como servicio activo desde principios de 2025. Una campaña utilizó un sitio web falso de eliminación de fondos para distribuir CastleLoader, que luego instaló NetSupport RAT y un ladrón .NET personalizado que se dirige a credenciales de navegador, billeteras de criptomonedas y sesiones de Telegram .
• NetSupport RAT: Una herramienta de administración remota legítima reutilizada por los atacantes para acceso de puerta trasera persistente .
• StealC: Un troyano ladrón de información que se dirige a credenciales de navegador y billeteras de criptomonedas .
• Amatera: Un ladrón de información distribuido a través de una campaña ClickFix que combinaba CAPTCHAs falsos con scripts firmados de Microsoft App-V .
• Ladrón basado en Rust: Documentado en campañas ClickFix polimórficas que comenzaron a finales de 2025 .
• DeerStealer: Observado como la carga útil ejecutable final después de HijackLoader .
• ResiLoader: Un cargador recién documentado diseñado específicamente para terminar más de 140 procesos de antivirus y herramientas de seguridad en la máquina de la víctima, desactivando efectivamente las defensas antes de que se ejecute la carga útil final .

Métodos de distribución

Los atacantes aprovechan una amplia combinación de infraestructura para alojar y entregar ataques ClickFix:

• Almacenamiento Cloudflare R2: Utilizado para alojar binarios de cargas útiles maliciosas .
• Subdominios de Cloudflare Pages: Abusados para servir páginas CAPTCHA falsas con el certificado de confianza de la propia Cloudflare .
• Alojamiento de Dedik Services Limited: Observado como proveedor de alojamiento para infraestructura de comando y control de ClickFix .
• Dominios expirados: Dominios expirados registrados o reregistrados utilizados para la recolección de credenciales y la entrega de cargas útiles .
• Sitios web comprometidos: El vector inicial más común. Los atacantes inyectan JavaScript malicioso o iframes en sitios legítimos (a menudo a través de vulnerabilidades de plugins o exploits de CMS) que redirigen a los visitantes a páginas de destino de ClickFix .
• Envenenamiento SEO y malvertising: Sitios de instaladores falsos y portales de software pirateado promocionados a través de resultados de motores de búsqueda .
• Explotación de vulnerabilidad de Ghost CMS: En mayo de 2026, los atacantes abusaron de una vulnerabilidad crítica de inyección SQL en Ghost CMS (CVE‑2026‑26980) para secuestrar más de 700 sitios web legítimos de educación y tecnología e inyectar mensajes ClickFix .

Importancia de la amenaza: por qué ClickFix domina

• El Informe de Defensa Digital 2025 de Microsoft identificó a ClickFix como el método de acceso inicial número 1, responsable del 47% de todos los ataques observados por Microsoft Defender Experts durante el año anterior, superando al phishing tradicional (35%) .
• La telemetría de ESET registró un aumento del 517% en los ataques ClickFix solo en la primera mitad de 2025 .
• En una campaña documentada por Menlo Labs, ClickFix entregó cargas útiles multiplataforma: comandos de PowerShell para Windows, scripts .command para macOS y scripts Bash para Linux desde un único señuelo JavaScript polimórfico .
• El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) emitió una alerta sectorial sobre ClickFix en julio de 2026, confirmando el alcance de la técnica en infraestructuras críticas .
• El Grupo Insikt de Recorded Future evaluó en marzo de 2026 que ClickFix probablemente seguirá siendo el vector de acceso inicial dominante durante todo 2026 .

Medidas defensivas: lo que recomiendan los investigadores

Debido a que ClickFix explota el comportamiento humano en lugar de una vulnerabilidad de software, la defensa se basa en gran medida en controles técnicos y la concienciación del usuario :

• Restringir la ejecución de PowerShell: Bloquear a los usuarios no administrativos la ejecución de scripts de PowerShell. Establecer la política de ejecución en Restricted a través de Directiva de Grupo y registrar todos los eventos de ejecución de PowerShell .
• Deshabilitar el cuadro de Ejecutar de Windows: Una modificación del registro (política NoRun) puede evitar que se use Win+R para pegar y ejecutar comandos .
• Tratar las instrucciones no solicitadas del símbolo del sistema como banderas rojas: Ningún sitio web o servicio legítimo pide a un usuario que presione Win+R, pegue un comando y presione Enter. Este debería ser el elemento principal de la formación en concienciación del usuario .
• Bloquear mshta, cscript y curl de la ejecución en contexto de usuario: Usar AppLocker o Windows Defender Application Control para restringir los intérpretes de scripts .
• Implementar reglas de detección de endpoints: Monitorear procesos padre inusuales de powershell.exe -ep bypass, linaje de procesos desde explorer.exe a intérpretes de scripts y artefactos del registro RunMRU .
• Usar funciones de seguridad del portapapeles: Las protecciones de portapapeles a nivel de navegador pueden prevenir el mecanismo central de copiar y pegar del que depende ClickFix.

La función Paste Protect de Opera

Opera introdujo una función nativa de Paste Protect (disponible en Opera 100+ en Windows, macOS y Linux) que intercepta y bloquea los ataques de pastejacking basados en portapapeles. Cuando un sitio web intenta escribir programáticamente una carga útil sospechosa en el portapapeles y luego solicita al usuario que la pegue, Paste Protect advierte al usuario y bloquea la operación. Esto mitiga directamente la técnica central de ClickFix sin necesidad de instalar ninguna extensión.

Cómo funciona ClickFix: el engaño en cuatro pasos

El ataque sigue un patrón constante en casi todas las campañas documentadas :

1. El señuelo: Un usuario visita un sitio web comprometido o fraudulento y se encuentra con un mensaje de verificación falso: un reCAPTCHA de Google falsificado, una página falsa de Cloudflare "Verifica que eres humano", un mensaje falso de actualización del navegador o una pantalla de error fraudulenta de QuickBooks o Booking.com .
2. Instrucción de copiar y pegar: La página muestra instrucciones como: "Presiona Win + R, luego presiona Ctrl + V, luego presiona Enter" para completar la verificación .
3. La carga útil oculta: Lo que se ha copiado al portapapeles del usuario es un comando malicioso de PowerShell, mshta o curl que descarga y ejecuta un cargador de malware desde un servidor remoto .
4. Ejecución: El comando se ejecuta con los propios privilegios del usuario. Debido a que el usuario mismo lo pegó y ejecutó, las herramientas de detección de endpoints a menudo no lo marcan como una intrusión .

Esta técnica también se conoce como pastejacking porque explota el portapapeles como vector de infección .

Cargas útiles distribuidas en las campañas ClickFix

Los atacantes han utilizado señuelos ClickFix para distribuir una amplia gama de malware, a menudo en cadenas de infección de múltiples etapas:

• HijackLoader: Un cargador de primera etapa observado en cadenas ClickFix desde al menos junio de 2025, frecuentemente seguido por el ladrón de información DeerStealer .
• CastleLoader (también conocido como CastleBot): Un framework de malware como servicio activo desde principios de 2025. Una campaña utilizó un sitio web falso de eliminación de fondos para distribuir CastleLoader, que luego instaló NetSupport RAT y un ladrón .NET personalizado que se dirige a credenciales de navegador, billeteras de criptomonedas y sesiones de Telegram .
• NetSupport RAT: Una herramienta de administración remota legítima reutilizada por los atacantes para acceso de puerta trasera persistente .
• StealC: Un troyano ladrón de información que se dirige a credenciales de navegador y billeteras de criptomonedas .
• Amatera: Un ladrón de información distribuido a través de una campaña ClickFix que combinaba CAPTCHAs falsos con scripts firmados de Microsoft App-V .
• Ladrón basado en Rust: Documentado en campañas ClickFix polimórficas que comenzaron a finales de 2025 .
• DeerStealer: Observado como la carga útil ejecutable final después de HijackLoader .
• ResiLoader: Un cargador recién documentado diseñado específicamente para terminar más de 140 procesos de antivirus y herramientas de seguridad en la máquina de la víctima, desactivando efectivamente las defensas antes de que se ejecute la carga útil final .

Métodos de distribución

Los atacantes aprovechan una amplia combinación de infraestructura para alojar y entregar ataques ClickFix:

• Almacenamiento Cloudflare R2: Utilizado para alojar binarios de cargas útiles maliciosas .
• Subdominios de Cloudflare Pages: Abusados para servir páginas CAPTCHA falsas con el certificado de confianza de la propia Cloudflare .
• Alojamiento de Dedik Services Limited: Observado como proveedor de alojamiento para infraestructura de comando y control de ClickFix .
• Dominios expirados: Dominios expirados registrados o reregistrados utilizados para la recolección de credenciales y la entrega de cargas útiles .
• Sitios web comprometidos: El vector inicial más común. Los atacantes inyectan JavaScript malicioso o iframes en sitios legítimos (a menudo a través de vulnerabilidades de plugins o exploits de CMS) que redirigen a los visitantes a páginas de destino de ClickFix .
• Envenenamiento SEO y malvertising: Sitios de instaladores falsos y portales de software pirateado promocionados a través de resultados de motores de búsqueda .
• Explotación de vulnerabilidad de Ghost CMS: En mayo de 2026, los atacantes abusaron de una vulnerabilidad crítica de inyección SQL en Ghost CMS (CVE‑2026‑26980) para secuestrar más de 700 sitios web legítimos de educación y tecnología e inyectar mensajes ClickFix .

Importancia de la amenaza: por qué ClickFix domina

• El Informe de Defensa Digital 2025 de Microsoft identificó a ClickFix como el método de acceso inicial número 1, responsable del 47% de todos los ataques observados por Microsoft Defender Experts durante el año anterior, superando al phishing tradicional (35%) .
• La telemetría de ESET registró un aumento del 517% en los ataques ClickFix solo en la primera mitad de 2025 .
• En una campaña documentada por Menlo Labs, ClickFix entregó cargas útiles multiplataforma: comandos de PowerShell para Windows, scripts .command para macOS y scripts Bash para Linux desde un único señuelo JavaScript polimórfico .
• El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) emitió una alerta sectorial sobre ClickFix en julio de 2026, confirmando el alcance de la técnica en infraestructuras críticas .
• El Grupo Insikt de Recorded Future evaluó en marzo de 2026 que ClickFix probablemente seguirá siendo el vector de acceso inicial dominante durante todo 2026 .

Medidas defensivas: lo que recomiendan los investigadores

Debido a que ClickFix explota el comportamiento humano en lugar de una vulnerabilidad de software, la defensa se basa en gran medida en controles técnicos y la concienciación del usuario :

• Restringir la ejecución de PowerShell: Bloquear a los usuarios no administrativos la ejecución de scripts de PowerShell. Establecer la política de ejecución en Restricted a través de Directiva de Grupo y registrar todos los eventos de ejecución de PowerShell .
• Deshabilitar el cuadro de Ejecutar de Windows: Una modificación del registro (política NoRun) puede evitar que se use Win+R para pegar y ejecutar comandos .
• Tratar las instrucciones no solicitadas del símbolo del sistema como banderas rojas: Ningún sitio web o servicio legítimo pide a un usuario que presione Win+R, pegue un comando y presione Enter. Este debería ser el elemento principal de la formación en concienciación del usuario .
• Bloquear mshta, cscript y curl de la ejecución en contexto de usuario: Usar AppLocker o Windows Defender Application Control para restringir los intérpretes de scripts .
• Implementar reglas de detección de endpoints: Monitorear procesos padre inusuales de powershell.exe -ep bypass, linaje de procesos desde explorer.exe a intérpretes de scripts y artefactos del registro RunMRU .
• Usar funciones de seguridad del portapapeles: Las protecciones de portapapeles a nivel de navegador pueden prevenir el mecanismo central de copiar y pegar del que depende ClickFix.

La función Paste Protect de Opera

Opera introdujo una función nativa de Paste Protect (disponible en Opera 100+ en Windows, macOS y Linux) que intercepta y bloquea los ataques de pastejacking basados en portapapeles. Cuando un sitio web intenta escribir programáticamente una carga útil sospechosa en el portapapeles y luego solicita al usuario que la pegue, Paste Protect advierte al usuario y bloquea la operación. Esto mitiga directamente la técnica central de ClickFix sin necesidad de instalar ninguna extensión.