ClickFix se ha consolidado rápidamente como una de las técnicas favoritas de los delincuentes desde que apareció alrededor de 2024. Ha crecido tanto en volumen como en variedad, con una familia cada vez más amplia de sub-técnicas como FileFix, InstallFix, TerminalFix y ConsentFix, esta última completamente nativa del navegador. Los señuelos también se han vuelto más elaborados y específicos: los ataques recientes prefieren dirigirse a personas que buscan y utilizan herramientas de IA, un truco que pilla desprevenidos a muchos usuarios y que se camufla con el tráfico legítimo de herramientas de IA generativa aprobadas.
Los datos de detección de Push Security muestran hasta dónde se ha extendido la técnica. Durante el segundo trimestre de 2026, ClickFix representó un promedio del 52% de las detecciones de Push, superando por primera vez al phishing de adversario en el medio (AiTM) y al phishing de código de dispositivo; en agosto esa cifra alcanzó el 67%. De todos los ataques basados en navegador que Push intercepta, 1 de cada 2 llega por canales distintos del correo electrónico, como motores de búsqueda y redes sociales. El resto llegó por correo electrónico pero no fue detenido en la puerta de enlace. ClickFix va un paso más allá: 4 de cada 5 páginas ClickFix interceptadas en 2026 se alcanzaron desde motores de búsqueda, a través de sitios web comprometidos, malvertising y envenenamiento SEO.
Las herramientas de IA son el señuelo más reciente
Las variantes más recientes de ClickFix utilizan herramientas de IA como cebo. En el último informe trimestral de Push, los ataques InstallFix y LLMshare con temática de IA representaron alrededor del 5% de todos los ataques detectados, un subconjunto creciente de la familia ClickFix. Otros investigadores observan la misma tendencia. ANY.RUN vinculó 1.258 análisis públicos de sandbox a campañas de herramientas de IA falsas entre el 15 de abril y el 5 de octubre de 2026, y el 81% de ellos suplantaban a Claude, ChatGPT y Codex. Al menos el 45% provenían de campañas que indicaban a la víctima que pegara un comando, mediante páginas falsas de instalación por CLI o páginas de descarga falsas con ClickFix, y otro cuarto se originó en un chat de IA compartido o en un artefacto.
Estos señuelos funcionan porque la adopción de la IA ha extendido dos hábitos entre la fuerza laboral. El primero es instalar herramientas desde la terminal. Claude Code y herramientas similares se distribuyen con una instalación de una línea en la terminal, de modo que personas que nunca antes habrían abierto una línea de comandos ahora pegan comandos de páginas web como parte normal de probar una nueva herramienta. Una página ClickFix clásica tiene que inventar una razón para que el usuario pegue algo; una víctima de InstallFix llega esperando ejecutar un comando, así que el atacante solo tiene que sustituirlo por uno malicioso.
El segundo hábito es buscar aplicaciones de IA en lugar de acceder a ellas directamente. Muchas personas llegan a las herramientas de IA que usan a diario escribiendo el nombre en un motor de búsqueda, y los empleados adoptan nuevas aplicaciones de IA más rápido de lo que los equipos de seguridad pueden aprobarlas. Ambos hábitos sitúan al usuario en una página de resultados de búsqueda, que es exactamente donde se produce la entrega de ClickFix.
InstallFix: páginas de instalación falsas que muestran el comando real
Push documentó InstallFix por primera vez en marzo de 2026: páginas de instalación clonadas de herramientas como Claude Code, Codex y NotebookLM (que ni siquiera tiene instalador de escritorio), promocionadas mediante anuncios de búsqueda. El atacante copia la página legítima y reemplaza el comando de instalación por uno que descarga malware.
El último clúster analizado por Push vio que una búsqueda en Google de "claude mac" devolvía un resultado patrocinado que mostraba bing.com como dominio. El anuncio pasaba al visitante por la redirección de seguimiento de clics de Bing hacia un sitio web minorista comprometido, que lo reenviaba a una página falsa de "Download Claude". Dos capas de ocultación, una comprobación del referrer en el servidor del sitio comprometido y un script en la página falsa, envían a quien no llega a través del anuncio a una página benigna o a un error 404.
El señuelo está diseñado para engañar tanto a un usuario cuidadoso como a cualquier control que lea la pantalla. La página muestra el comando de instalación genuino de Anthropic, pero su botón de copiar coloca un comando diferente en el portapapeles. Ese comando primero imprime una URL legítima de claude.ai en la Terminal, luego decodifica una URL oculta y canaliza el script descargado directamente al shell sin guardarlo en disco. Un usuario que revisa la página y luego observa la Terminal ve el dominio de Anthropic en ambos momentos. Push ya ha visto el mismo truco en otros señuelos y, dado que los kits de ClickFix copian rápidamente las características de los demás, se está propagando con rapidez.
LLMshare: señuelos alojados en las propias plataformas de IA
LLMshare, una técnica que Push reportó en mayo de 2026, abusa de las funciones para compartir de los chatbots de IA. Los atacantes crean chats compartidos y Artifacts en ChatGPT y Claude que contienen instrucciones de instalación maliciosas o un enlace a una página de descarga falsa, y luego los promocionan mediante anuncios de búsqueda. Como el señuelo está alojado en chatgpt.com o claude.ai, las herramientas que dependen de comprobaciones de reputación de URL tienen todas las razones para confiar en él.
La versión más reciente utiliza GPT personalizados, que convierten el señuelo de una página estática en una conversación. Un GPT personalizado es una versión configurada de ChatGPT que cualquier persona con una cuenta de pago puede crear y compartir, y su creador escribe instrucciones ocultas que dirigen cada respuesta. En el caso que analizó Push, independientemente de lo que escribiera el usuario, el GPT respondía con un falso "Aviso de disponibilidad del servicio" que enlazaba a una página de Google Sites que servía una carga útil ClickFix para Windows. Tenía más de 10.000 conversaciones cuando Push lo observó. Un GPT personalizado es aún más convincente que un chat compartido porque el usuario tiene que usarlo con normalidad antes de que aparezca el enlace malicioso. Hasta ese momento, la página se comporta como el usuario esperaba, y el falso aviso de interrupción se lee como un problema rutinario del servicio.
Por qué ClickFix es el arma preferida en 2026
El Informe de Defensa Digital 2026 de Microsoft muestra que el volumen de ClickFix sigue creciendo rápidamente. Los ataques ClickFix crecieron aproximadamente 23 veces entre diciembre de 2025 y mayo de 2026, y solo entre febrero y principios de mayo, Microsoft Defender observó comandos proporcionados por atacantes al estilo ClickFix ejecutados en más de 1,1 millones de dispositivos únicos. En palabras de Microsoft, ClickFix es ahora "una de las técnicas de acceso inicial más eficientes en conversión", con un 96,3% de las intrusiones ClickFix que conducen a malware.
ClickFix supera los controles de detección típicos porque:
- La seguridad del correo electrónico nunca ve una página a la que el usuario llegó mediante un resultado de búsqueda.
- La reputación de URL y las listas de bloqueo ven bing.com, chatgpt.com, sites.google.com o un sitio web legítimo que ha sido comprometido, y los principales kits ahora usan EtherHiding, almacenando su configuración en un contrato inteligente en una cadena de bloques pública. No hay servidor que derribar, y el operador puede cambiar la URL de la carga útil en cada sitio comprometido con una sola transacción.
Las detecciones que se activan en sitios comprometidos o legítimos a menudo sorprenden a los nuevos clientes de Push. Los sitios legítimos también aparecen en otros puntos de la cadena, como redirecciones, como alojamiento en servicios como Google Sites y, como hemos mostrado, en las propias plataformas de IA.
La seguridad del endpoint es la última línea de defensa una vez que el usuario pega el comando, y ClickFix está diseñado para superarla. El usuario ejecuta el comando en un shell legítimo, por lo que no coincide con las cadenas de procesos que buscan las reglas del endpoint, y se ejecuta en memoria, sin dejar ningún archivo para que un sandbox lo detone. Push también ha visto 84 formas de comando en más de 20 binarios, ofuscadas para derrotar la coincidencia de cadenas. Y para dispositivos BYOD, máquinas de contratistas, Macs y estaciones de trabajo de desarrolladores donde el EDR suele estar ausente o atenuado, no hay protección alguna.
Estos ataques también son difíciles de investigar a posteriori, porque muchos solo se activan en condiciones específicas. La campaña ConsentFix que Push descubrió en diciembre de 2025, vinculada al grupo APT29 afiliado al Estado ruso, solo servía su señuelo a los visitantes que introducían una dirección de correo electrónico en la lista de objetivos del atacante. Cada sitio comprometido de la campaña también compartía una lista de bloqueo de IP, de modo que una vez que se había servido el señuelo a un visitante, este nunca volvía a aparecer para esa dirección IP en ninguno de ellos. Para cuando un analista comprueba una URL reportada, el señuelo puede haber rotado o haber sido retirado, o la página puede simplemente cargarse limpia para cualquiera que no llegara como lo hizo la víctima.
Descubra qué está llegando ya a sus usuarios
Puede ver qué ataques están llegando a sus propios usuarios con una evaluación gratuita de seguridad del navegador. Es una prueba de 30 días de la plataforma completa de Push, desplegada a través de su MDM en menos de una hora. Al final de la prueba, recibe un informe que cubre los ataques basados en navegador detectados, cómo los empleados usan las herramientas de IA y qué comparten con ellas, las cuentas y extensiones de navegador que le dejan expuesto al secuestro de cuentas y más.
En una prueba reciente en una empresa de servicios financieros con alrededor de 4.500 empleados, Push detectó y bloqueó 6 ataques ClickFix y 10 intentos de phishing AiTM que el stack de seguridad existente había pasado por alto, interceptándolos en el navegador antes de que las cargas útiles de ClickFix tuvieran la oportunidad de llegar al endpoint.
Si desea saber más sobre Push y cómo podemos ayudarle a detener ataques basados en navegador como ClickFix, phishing AiTM y phishing de código de dispositivo, obtener visibilidad y control sobre las herramientas de IA que utiliza su fuerza laboral, y encontrar las cuentas en riesgo de secuestro, reserve una demostración.
Patrocinado y escrito por Push Security.
Deja una respuesta