{"id":169,"date":"2026-03-06T09:57:20","date_gmt":"2026-03-06T09:57:20","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/06\/microsoft-revela-la-campana-clickfix-que-utiliza-la-terminal-de-windows-para-implementar-lumma-stealer-cyberdefensa-mx\/"},"modified":"2026-03-06T09:57:20","modified_gmt":"2026-03-06T09:57:20","slug":"microsoft-revela-la-campana-clickfix-que-utiliza-la-terminal-de-windows-para-implementar-lumma-stealer-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/06\/microsoft-revela-la-campana-clickfix-que-utiliza-la-terminal-de-windows-para-implementar-lumma-stealer-cyberdefensa-mx\/","title":{"rendered":"Microsoft revela la campa\u00f1a ClickFix que utiliza la terminal de Windows para implementar Lumma Stealer \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Microsoft revel\u00f3 el jueves detalles de una nueva campa\u00f1a generalizada de ingenier\u00eda social ClickFix que ha aprovechado la <a href=\"https:\/\/en.wikipedia.org\/wiki\/Windows_Terminal\" rel=\"noopener\" target=\"_blank\">Aplicaci\u00f3n de terminal de Windows<\/a> como una forma de activar una cadena de ataque sofisticada y desplegar el malware Lumma Stealer.<\/p>\n<p>La actividad, observada en febrero de 2026, utiliza el programa emulador de terminal en lugar de indicar a los usuarios que inicien el cuadro de di\u00e1logo Ejecutar de Windows y peguen un comando en \u00e9l.<\/p>\n<p>\u00abEsta campa\u00f1a instruye a los objetivos a utilizar el acceso directo Windows + X \u2192 I para iniciar Windows Terminal (wt.exe) directamente, guiando a los usuarios a un entorno de ejecuci\u00f3n de comandos privilegiado que se integra con flujos de trabajo administrativos leg\u00edtimos y parece m\u00e1s confiable para los usuarios\u00bb, dijo el equipo de Microsoft Threat Intelligence. <a href=\"https:\/\/x.com\/MsftSecIntel\/status\/2029692925118992473\" rel=\"noopener\" target=\"_blank\">dicho<\/a> en una serie de publicaciones sobre X.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/not-fast-enough-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhlXM830ruQd2xT6M7JNeNRjaFa1onD12WjSCHihTFMTzbyfT9h-irPmXy_h3E1HGSs6sdv7FTmnyNVTM5kmSb7BuUtZe8gKoTQt99P1sSzRcqqXpOJP6eoAOhR3DGb6qHx9kOZ_HBZUMmVnsnd0DM7QfUp81bgzTvvgLww6oqB-EhnDfWXH5pWCYhAsyLs\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Lo que hace que la \u00faltima variante sea notable es que elude las detecciones dise\u00f1adas espec\u00edficamente para se\u00f1alar el abuso en el cuadro de di\u00e1logo Ejecutar, sin mencionar el aprovechamiento de la legitimidad de Windows Terminal para enga\u00f1ar a usuarios desprevenidos para que ejecuten comandos maliciosos entregados a trav\u00e9s de p\u00e1ginas CAPTCHA falsas, mensajes de soluci\u00f3n de problemas u otros se\u00f1uelos de estilo de verificaci\u00f3n.<\/p>\n<p>La cadena de ataque posterior al compromiso tambi\u00e9n es \u00fanica: cuando el usuario pega un comando codificado en hexadecimal y comprimido XOR copiado de la p\u00e1gina de se\u00f1uelo ClickFix en una sesi\u00f3n de Terminal de Windows, abarca instancias adicionales de Terminal\/PowerShell para finalmente invocar un proceso de PowerShell responsable de decodificar el script.<\/p>\n<p>Esto, a su vez, conduce a la descarga de una carga \u00fatil ZIP y un binario 7-Zip leg\u00edtimo pero renombrado, el \u00faltimo de los cuales se guarda en el disco con un nombre de archivo aleatorio. Luego, la utilidad procede a extraer el contenido del archivo ZIP, lo que desencadena una cadena de ataque de varias etapas que implica los siguientes pasos:<\/p>\n<ul>\n<li>Recuperando m\u00e1s cargas \u00fatiles<\/li>\n<li>Configurar la persistencia mediante tareas programadas<\/li>\n<li>Configurar exclusiones de Microsoft Defender<\/li>\n<li>Exfiltraci\u00f3n de datos de la m\u00e1quina y de la red<\/li>\n<li>Implementar Lumma Stealer usando una t\u00e9cnica llamada <a href=\"https:\/\/nyameeeain.medium.com\/queueuserapc-process-injection-6f31fcb89410\" rel=\"noopener\" target=\"_blank\">Usuario de colaAPC()<\/a> inyectando el malware en los procesos \u00abchrome.exe\u00bb y \u00abmsedge.exe\u00bb<\/li>\n<\/ul>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/xm-cyber-comm-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjeddeABvLw_c_ToOCMJPgQbMsApaTV3NUf6HM6UvXJMdWuMwDjqX3SsAJ3AFa2tLmqtvPxYwtaaAxhEbjMflJYYBOEtruJgSbLmu5axVBfkb-epbRoJmYPS79p3QMYea_Z3OfeaKYa4ocXewrWsdMRRSUW7UE5dNMGns2eNUwSelaseMB4sblfZnEgxWTH\/s728-e100\/risk-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abEl ladr\u00f3n apunta a artefactos de navegador de alto valor, incluidos datos web y datos de inicio de sesi\u00f3n, recolectando credenciales almacenadas y exfiltr\u00e1ndolas a la infraestructura controlada por el atacante\u00bb, dijo Microsoft.<\/p>\n<p>El fabricante de Windows dijo que tambi\u00e9n detect\u00f3 una segunda v\u00eda de ataque, como parte de la cual, cuando el comando comprimido se pega en la Terminal de Windows, descarga un script por lotes con nombres aleatorios a la carpeta \u00abAppData\\Local\u00bb mediante \u00abcmd.exe\u00bb para escribir un script de Visual Basic en la carpeta Temp (tambi\u00e9n conocida como %TEMP%).<\/p>\n<p>\u00abEl script por lotes luego se ejecuta a trav\u00e9s de cmd.exe con el argumento de l\u00ednea de comando \/launched. El mismo script por lotes luego se ejecuta a trav\u00e9s de MSBuild.exe, lo que resulta en un abuso de LOLBin\u00bb, agreg\u00f3. \u00abEl script se conecta a los puntos finales RPC de Crypto Blockchain, lo que indica una t\u00e9cnica de ocultaci\u00f3n de ether. Tambi\u00e9n realiza una inyecci\u00f3n de c\u00f3digo basada en QueueUserAPC() en los procesos chrome.exe y msedge.exe para recolectar datos web y datos de inicio de sesi\u00f3n\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Microsoft revel\u00f3 el jueves detalles de una nueva campa\u00f1a generalizada de ingenier\u00eda social ClickFix que ha aprovechado la Aplicaci\u00f3n de terminal de Windows como una forma de activar una cadena de ataque sofisticada y desplegar el malware Lumma Stealer. La actividad, observada en febrero de 2026, utiliza el programa emulador de terminal en lugar de [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[133,528,24,530,531,50,36,131,532,529,216,421],"class_list":["post-169","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-campana","tag-clickfix","tag-cyberdefensa-mx","tag-implementar","tag-lumma","tag-microsoft","tag-para","tag-revela","tag-stealer","tag-terminal","tag-utiliza","tag-windows"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/169","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=169"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/169\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/108"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=169"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=169"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=169"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}