Evolución de las técnicas de ClickFix
La técnica de ClickFix se ha convertido en uno de los métodos de ciberataque más extendidos desde su aparición en 2024, habiendo evolucionado para incluir una amplia familia de submétodos como FileFix, InstallFix y TerminalFix. Según los datos de Push Security, estos ataques acapararon el 67% del total de detecciones de seguridad en agosto de 2026, superando así los métodos tradicionales de phishing como AiTM.
La inteligencia artificial como anzuelo
Actualmente, los atacantes explotan la pasión de los usuarios por las herramientas de inteligencia artificial generativa (GenAI) para lanzar sus ataques. Esta estrategia se basa en dos realidades: la primera es la costumbre de los empleados de copiar los comandos de instalación directamente desde las páginas web a la interfaz de comandos (Terminal), y la segunda es la creciente dependencia de los motores de búsqueda para acceder a herramientas de inteligencia artificial en lugar de visitar sus sitios web oficiales directamente.
Mecanismos de ataque innovadores
- InstallFix: Los atacantes crean páginas de instalación falsas que imitan herramientas populares como Claude Code. Al hacer clic en el botón "Copiar", el comando de programación real se sustituye por uno malicioso que ejecuta un script directamente en la memoria sin necesidad de guardar archivos en el disco, lo que dificulta su detección.
- LLMshare: Explotación de las funciones de compartición en plataformas como ChatGPT y Claude. Los atacantes crean conversaciones o "Artifacts" que contienen enlaces maliciosos, lo que les otorga una alta fiabilidad debido a que se alojan en el dominio de las plataformas oficiales.
- Custom GPTs: Uso de modelos GPT personalizados que interactúan con el usuario como si fueran un servicio de soporte técnico, para guiarlo finalmente hacia páginas externas que contienen cargas maliciosas.
¿Por qué fallan las defensas tradicionales?
Los ataques de ClickFix logran sortear los sistemas de seguridad por varias razones fundamentales:
- Elusión de las pasarelas de correo electrónico: La mayoría de estos ataques comienzan a través de motores de búsqueda o anuncios engañosos, lejos del escaneo de correo electrónico.
- Uso de infraestructura legítima: Los atacantes dependen de sitios web de confianza o hackearon, y utilizan técnicas como EtherHiding para almacenar las configuraciones de ataque en contratos inteligentes en la cadena de bloques (blockchain), lo que hace que cerrar los servidores sea imposible.
- Ejecución en memoria: Dado que los comandos se ejecutan en una interfaz de comandos legítima, no activan las alertas de los programas antivirus tradicionales que buscan patrones específicos de operaciones sospechosas.
¿Qué significa esto para los usuarios?
Estos ataques demuestran que la concienciación sobre la seguridad tradicional ya no es suficiente. El usuario ya no está a salvo simplemente por estar en un sitio web de confianza o utilizar una herramienta de inteligencia artificial conocida. La dependencia de "copiar y pegar" comandos de instalación de la web representa una vulnerabilidad de seguridad crítica, ya que los atacantes pueden manipular lo que el usuario realmente copia al portapapeles del dispositivo (Clipboard), haciendo que la verificación de los comandos antes de su ejecución sea una necesidad técnica primordial.