- ClickFix engaña a los usuarios para que ejecuten comandos maliciosos manualmente mediante el portapapeles y la ventana Ejecutar de Windows.
- Utiliza señuelos como falsos errores de navegador, CAPTCHAs o avisos de actualización para inducir a la víctima al error.
- Distribuye una amplia gama de amenazas, desde ladrones de información (Infostealers) hasta troyanos de acceso remoto y ransomware.
Seguro que alguna vez te ha pasado: estás navegando tranquilamente y, de repente, salta una ventana emergente diciendo que tu navegador está desactualizado o que hay un fallo con el micrófono en Zoom. A primera vista parece una tontería, pero aquí es donde entra en juego el ClickFix, una artimaña de ingeniería social que se ha puesto muy de moda últimamente para colar virus en los ordenadores sin que nos demos cuenta.
Lo más peligroso de este asunto es que no se trata de un archivo que descargas y abres, sino que los propios ciberdelincuentes nos convencen para que nosotros mismos ejecutemos el código malicioso. Básicamente, nos hacen hacer el trabajo sucio mientras creemos que estamos arreglando un problema técnico, saltándose así la mayoría de los antivirus tradicionales que solo buscan archivos sospechosos.
¿En qué consiste exactamente el engaño ClickFix?
La técnica se basa en el uso de avisos falsos que imitan errores del sistema, verificaciones de CAPTCHA o el famoso sistema de Cloudflare. El objetivo es generar una sensación de urgencia o necesidad para que el usuario haga clic en un botón, normalmente llamado «Fix It» o «Arreglar problema». Al pulsar ese botón, ocurre algo invisible: el navegador copia automáticamente un comando malicioso en el portapapeles del equipo.
Una vez que el código está copiado, el atacante nos guía paso a paso para que lo ejecutemos. Lo habitual es que nos pidan pulsar la combinación Win+R, pegar el contenido (Ctrl+V) y darle a Enter. Al hacer esto, estamos abriendo la ventana de «Ejecutar» de Windows y lanzando un script de PowerShell con nuestros propios permisos de usuario, lo que permite que el malware se instale directamente en la memoria del equipo, evitando escribir datos en el disco y pasando así desapercibido para muchos EDR.
Variantes y tácticas relacionadas: el caso de FileFix
Aunque ClickFix es la versión más conocida, ha surgido una evolución llamada FileFix. La diferencia principal es que, en lugar de usar el cuadro de diálogo Ejecutar, este método nos engaña para que peguemos el código en la barra de direcciones del Explorador de archivos. Como es una herramienta que usamos constantemente y nos resulta familiar, la gente no sospecha que el Explorador también puede ejecutar comandos del sistema.
En FileFix, los atacantes suelen usar trucos visuales, como añadir una cantidad enorme de espacios en blanco antes del código malicioso. De este modo, en la barra de direcciones solo vemos el final de la ruta (algo que parece un archivo PDF o un documento legítimo), pero al pulsar Enter, se ejecuta toda la carga maliciosa que estaba oculta a la izquierda.
Tipos de malware que se distribuyen con este método
Este sistema de entrega es como un «taxi» que puede llevar cualquier tipo de carga dañina. Se han documentado casos donde se instalan infostealers como Lumma Stealer, Vidar o StealC, cuyo único objetivo es robarnos contraseñas, cookies de sesión y claves de billeteras de criptomonedas. También se utilizan troyanos de acceso remoto (RAT) como NetSupport RAT o AsyncRAT, que dan al atacante el control total del equipo.
Además, se han visto campañas más agresivas que despliegan ransomware como Qilin o Interlock, que cifran los archivos para pedir un rescate, o rootkits que se ocultan en lo más profundo del sistema operativo. Incluso algunos grupos norcoreanos han usado el ClickFix en falsas ofertas de empleo para empresas de criptomonedas, enviando pruebas técnicas que en realidad eran trampas para infectar a los candidatos.
Impacto en el mundo real y casos en América Latina
No es una amenaza teórica; ya ha golpeado a instituciones importantes. En América Latina, se han reportado ataques en la Universidad Católica de Chile y en el Fondo de Vivienda Policial de Perú, utilizando un marco de trabajo llamado ClearFake. Este framework inyecta JavaScript en sitios web legítimos que han sido hackeados, haciendo que la página oficial parezca haber fallado y obligando al usuario a realizar la «solución» maliciosa.
El alcance es global y afecta a sectores críticos como servicios financieros, manufactura y gobiernos locales. Los atacantes suelen aprovechar el typosquatting, creando dominios que se parecen mucho a los reales (como iplogger[.]co en lugar de iplogger[.]org) para redirigir a las víctimas hacia estas páginas de verificación falsas.
Cómo detectar y evitar caer en la trampa
La mejor defensa es, sencillamente, el sentido común. Ningún navegador, programa de videollamadas ni página de seguridad legítima te pedirá jamás que abras PowerShell o la terminal para solucionar un error. Si ves instrucciones que te piden copiar y pegar códigos extraños en la ventana Ejecutar o en el Explorador de archivos, corta inmediatamente la navegación y cierra la pestaña.
Para los más técnicos o administradores de sistemas, existen huellas que dejan estos ataques. Una de ellas es la clave de registro RunMRU, donde Windows guarda los últimos comandos ejecutados desde Win+R. Si allí aparecen cadenas de texto ofuscadas o llamadas a dominios desconocidos, es muy probable que el equipo esté comprometido. También es fundamental mantener actualizado el sistema operativo y utilizar la autenticación de doble factor para limitar el daño si roban las credenciales.
Para mantenernos a salvo, lo primordial es desconfiar de cualquier aviso urgente que nos obligue a realizar pasos manuales en la consola del sistema. La combinación de educación digital, el uso de soluciones antimalware actualizadas y la cautela al navegar por sitios desconocidos constituye la barrera más efectiva contra estas técnicas de pastejacking que buscan convertirnos en el cómplice involuntario de nuestra propia infección.