{"id":1602,"date":"2026-07-16T14:33:26","date_gmt":"2026-07-16T14:33:26","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/16\/el-nuevo-malware-telepuz-se-propaga-a-traves-de-clickfix-para-robar-datos-y-ejecutar-comandos-cyberdefensa-mx\/"},"modified":"2026-07-16T14:33:26","modified_gmt":"2026-07-16T14:33:26","slug":"el-nuevo-malware-telepuz-se-propaga-a-traves-de-clickfix-para-robar-datos-y-ejecutar-comandos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/16\/el-nuevo-malware-telepuz-se-propaga-a-traves-de-clickfix-para-robar-datos-y-ejecutar-comandos-cyberdefensa-mx\/","title":{"rendered":"El nuevo malware TELEPUZ se propaga a trav\u00e9s de ClickFix para robar datos y ejecutar comandos \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los investigadores de ciberseguridad han llamado la atenci\u00f3n sobre un nuevo malware modular llamado TELEPUZ<\/strong> que se ha estado propagando a trav\u00e9s de sitios web infectados con se\u00f1uelos ClickFix desde finales de abril de 2026.<\/p>\n

\u00abEl malware tiene todas las funciones, es ligero y modular\u00bb, afirma Cyril Fran\u00e7ois, investigador de Elastic Security Labs. dicho<\/a> en un informe t\u00e9cnico. \u00abSi bien el n\u00famero de C2 [command-and-control] dominios es actualmente peque\u00f1o, el volumen diario de compilaciones cargadas en VirusTotal y el r\u00e1pido ritmo de las actualizaciones indican un desarrollo activo y probablemente un mayor crecimiento\u00bb.<\/p>\n

La divulgaci\u00f3n lo convierte en el segundo nuevo actor de amenazas despu\u00e9s de SCMBANKER que se propaga a trav\u00e9s de Hacer clic en arreglar<\/a>a ataque generalizado de ingenier\u00eda social<\/a> que enga\u00f1a a los usuarios para que ejecuten manualmente comandos maliciosos disfraz\u00e1ndolos de correcciones inocentes para errores falsos del navegador, actualizaciones de software o verificaciones CAPTCHA.<\/p>\n

La t\u00e9cnica se basa en un enfoque llamado secuestro del portapapeles. Debido a que las p\u00e1ginas web que utilizan ClickFix inyectan scripts o comandos maliciosos en el portapapeles de una v\u00edctima potencial y brindan instrucciones para pegarlos y ejecutarlos, tambi\u00e9n se lo conoce como pastejacking.<\/p>\n

La cadena de ataque ClickFix vinculada a TELEPUZ da como resultado la ejecuci\u00f3n de PowerShell, que descarga una carga \u00fatil de segunda etapa desde una URL remota y la ejecuta. La carga \u00fatil es una variante Go de Vidar Stealer, que se sabe que recopila datos confidenciales de hosts infectados e implementa malware secundario, en este caso un binario stager que es responsable de iniciar TELEPUZ (\u00abtelepuz.dll\u00bb) usando \u00abrundll32.exe\u00bb. Tanto el binario stager como el DLL principal se recuperan de \u00abhurgadatour[.]dominio \u00abtienda\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Escrito en C, TELEPUZ es liviano y modular, y muestra signos de que fue desarrollado por un desarrollador en solitario o un equipo muy peque\u00f1o con experiencia en codificaci\u00f3n. Un volumen constante de env\u00edos diarios de VirusTotal asociados con la amenaza sugiere que probablemente se ofrezca bajo un modelo de malware como servicio (MaaS).<\/p>\n

TELEPUZ tambi\u00e9n incorpora una serie de t\u00e9cnicas de ofuscaci\u00f3n, como instrucciones basura que no tienen ning\u00fan prop\u00f3sito funcional, importar hash de nombre<\/a> para resolver importaciones, cifrado de cadenas y llamadas indirectas al sistema, para frustrar los esfuerzos de an\u00e1lisis.<\/p>\n

Luego procede a realizar comprobaciones anti-VM y de geolocalizaci\u00f3n verificando las limitaciones de hardware, como si la m\u00e1quina tiene menos de dos CPU, menos de 2 GB de memoria o espacio en disco insuficiente, y garantiza que el identificador local del sistema (LCID) no est\u00e9 entre una lista codificada de pa\u00edses de la Comunidad de Estados Independientes (CEI).<\/p>\n

\"\"<\/a><\/div>\n

Adem\u00e1s de eso, el malware compara el nombre de usuario actual y el nombre de la computadora con una lista codificada de identificadores de investigaci\u00f3n de malware y entornos aislados comunes. El objetivo de estas comprobaciones es finalizar la ejecuci\u00f3n inmediatamente si se detecta un entorno virtualizado o de espacio aislado, o una ubicaci\u00f3n geogr\u00e1fica no autorizada.<\/p>\n

Una vez superadas todas las comprobaciones, TELEPUZ toma medidas para desactivar el seguimiento de seguridad mediante desenganchando<\/a> NTDLL<\/a>desactivando la interfaz de escaneo antimalware (AARMI<\/a>) y seguimiento de eventos para Windows (ETW<\/a>), y eliminar terceros Notificaci\u00f3n Dll<\/a> devoluciones de llamada<\/a>que permiten que una aplicaci\u00f3n reciba alertas cuando se carga o descarga una DLL.<\/p>\n

La rutina de evasi\u00f3n de defensa va seguida de comprobaciones para detectar la presencia de depuradores y bloquearlos. Luego recupera el ID del proceso principal y valida el nombre del proceso principal con una lista de ejecutores conocidos, como \u00abrundll32.exe\u00bb y \u00absvchost.exe\u00bb. En la etapa final, genera un identificador de v\u00edctima \u00fanico que se obtiene concatenando el n\u00famero de serie del hardware, el nombre de la computadora y la fecha de instalaci\u00f3n del sistema operativo.<\/p>\n

\u00abDespu\u00e9s de una identificaci\u00f3n exitosa de la sesi\u00f3n, el malware genera dos subprocesos simult\u00e1neos: uno dedicado a elevarse e instalar el malware como un servicio, y el otro para iniciar el ciclo de comunicaci\u00f3n C2\u00bb, dijo Fran\u00e7ois. \u00abEl hilo de instalaci\u00f3n comienza elev\u00e1ndose a administrador utilizando la t\u00e9cnica de apodo de elevaci\u00f3n COM\u00bb.<\/p>\n

\u00abAl alcanzar la elevaci\u00f3n y dependiendo de la configuraci\u00f3n, TELEPUZ intenta obtener el privilegio del SISTEMA robando el token del primer proceso encontrado con uno de los siguientes nombres: spoolsv.exe, msdtc.exe, WmiPrvSE.exe, svchost.exe. Luego, se registra como un servicio creando las claves de registro necesarias para indicarle a Windows que cargue el malware dentro de una nueva instancia de svchost.exe\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Al mismo tiempo, el malware intenta establecer contacto con su servidor C2 hasta 10 veces. Si estos intentos fracasan, TELEPUZ intenta recuperar la direcci\u00f3n C2 alternativa utilizando cuatro m\u00e9todos diferentes:<\/p>\n