Los CAPTCHA son tan comunes que los resolvemos de forma automática. Esa automatización es exactamente lo que explotan los atacantes detrás de ClickFix: presentan una pantalla que parece legítima, te dan instrucciones que suenan razonables y, antes de que notes algo raro, ya ejecutaste el código que te piden.
Cómo funciona el ataque paso a paso
La manera de funcionar de ClickFix es sencilla. Utiliza como gancho una web que te muestra un supuesto error técnico, falsos CAPTCHA o avisos de seguridad aparentemente legítimos. Se te puede llevar a estas webs con técnicas de phishing, tanto por correo electrónico como por enlaces fraudulentos o anuncios en páginas legítimas.
Una vez en esa web, las instrucciones te guían para abrir una pantalla de ejecución o terminal y pegar un código. A veces, en la web donde se hace el ClickFix se copia directamente el código malicioso en tu portapapeles usando JavaScript. Entonces, las instrucciones pueden ser tan sencillas como pulsar Windows + R y luego Control + V, abriendo la ventana de ejecución de Windows pegando directamente el código.
Qué hace el código una vez que lo ejecutás
Este código malicioso puede llegar a hacer muchas cosas; todo depende de la campaña de ataques en la que se utilice. Puede servir para robar credenciales, pero también para instalar troyanos de acceso remoto con los que lo ciberdelincuentes pueden hacer todo lo que quieran en tu computadora.
El aspecto visual de la página donde te dan las instrucciones puede imitar lo que ya conocés. Mensajes de error de Chrome, ventanas de verificación habituales, avisos de Windows o Mac. La idea es que bajes la guardia porque crees que estás en un entorno familiar.
La señal de alarma que nunca hay que ignorar
Esta es la regla más importante para no caer: si quieres evitar este ataque y que no te afecte, lo mejor es desconfiar de cualquier web que te pida abrir el terminal o la ventana "Ejecutar" de tu ordenador. Nada de pulsar Windows + R; esto es inmediatamente una alarma de que quiere que hagas algo que no deberías en tu equipo.
Los sistemas CAPTCHA reales —los legítimos— solo te piden que selecciones imágenes o resuelvas un desafío visual dentro del navegador. Nunca te van a pedir ejecutar comandos en el ordenador ni que hagas cosas fuera del navegador. Por lo tanto, siempre que te pidan algo así, debes desconfiar de forma automática. It's a trap.
Cerrar sesión