ClickFix y TerminalFix: cómo frenar los ataques de CAPTCHA falso

La mayoría de los programas de seguridad parten de dos supuestos: el atacante entrega malware como archivo, o explota una vulnerabilidad sin parchear. ClickFix rompe ambos. El comando lo escribe un empleado legítimo, con su propia cuenta, usando herramientas nativas de Windows. Para muchos productos de seguridad, eso parece un administrador haciendo su trabajo.

Por eso la técnica se ha propagado tan rápido. Según los investigadores, los señuelos de ClickFix se alojan con frecuencia en sitios web legítimos comprometidos mediante credenciales robadas por malware infostealer. Cada nueva víctima puede alimentar la siguiente oleada. Los CAPTCHA falsos que imitan las páginas de verificación de Cloudflare son especialmente convincentes, porque los empleados ven los reales todos los días.

TerminalFix eleva el riesgo de tres maneras:

• Cargas más grandes. Como Windows Terminal y PowerShell procesan scripts largos de varias líneas, el atacante puede entregar una cadena completa de carga en un solo pegado.
• Persistencia. Microsoft describió una cadena que deposita un archivo ZIP en C:\ProgramData y lanza un cargador identificado como AxolotLoader (también conocido como LoremIpsumLoader).
• Acceso a la red, no solo al equipo. La BSI informó que los atacantes instalaron un entorno de Python y abrieron un túnel inverso TLS/WebSocket por el puerto 443. Ese tráfico se confunde con HTTPS normal y da al atacante un acceso tipo proxy a la red interna para moverse lateralmente.

A partir de ahí, el guion es conocido: robar credenciales, moverse lateralmente, exfiltrar datos y desplegar ransomware para una doble extorsión. La BSI confirmó que los atacantes intentaron exactamente eso. Las organizaciones que tratan una infección de ClickFix como "un portátil que hay que reinstalar" corren el riesgo de pasar por alto a un intruso que ya está dentro.

Entender la cadena de ataque es la forma más rápida de saber dónde cortarla. Una intrusión típica de TerminalFix sigue seis pasos:

1. Señuelo. La víctima visita un sitio comprometido o malicioso, a menudo desde resultados de búsqueda, publicidad maliciosa o un enlace en un correo o chat.
2. Verificación falsa. Una superposición convincente, que con frecuencia imita un CAPTCHA de Cloudflare, indica que el visitante debe "verificar que es humano". En segundo plano, un JavaScript copia en silencio un comando malicioso al portapapeles.
3. El pegado. Las instrucciones piden abrir Windows Terminal o PowerShell (por ejemplo con Win+X), pegar con Ctrl+V y presionar Enter. En macOS, algunas variantes piden pegar en Terminal.
4. Ejecución oculta. El comando lanza un script oculto de PowerShell que descarga un archivo desde la infraestructura del atacante, lo extrae e inicia el cargador. Algunas campañas esconden código dentro de imágenes o abusan de la carga lateral de DLL para evadir la detección.
5. Túnel inverso. Un componente basado en Python abre un túnel cifrado por el puerto 443 hacia el atacante y le da un punto de apoyo dentro de la red corporativa.
6. Movimiento lateral y extorsión. Los atacantes recolectan credenciales, avanzan hacia servidores y copias de seguridad, roban datos e intentan desplegar ransomware.

¿Cómo se detiene? Cada paso ofrece un punto de control:

• Endurecimiento de endpoints: usar reglas de reducción de la superficie de ataque (ASR) o controles equivalentes para restringir la ejecución de scripts, activar el registro de bloques de script de PowerShell y considerar el modo de lenguaje restringido para usuarios estándar.
• Detección de comportamiento: alertar sobre cadenas de procesos navegador→PowerShell y navegador→Windows Terminal, el punto de detección clave señalado para esta campaña.
• Visibilidad de red: marcar sesiones salientes TLS o WebSocket inusualmente largas desde estaciones de trabajo. Las pasarelas web seguras y el filtrado en la conectividad SD-WAN y SASE gestionada pueden bloquear dominios maliciosos conocidos antes de que el señuelo cargue.
• Concienciación: enseñar a todo el personal una sola regla: un CAPTCHA real nunca le pide pegar nada en una ventana de comandos.

ClickFix no es solo una amenaza técnica; es un riesgo de negocio. Una intrusión exitosa puede traducirse en tiempo de inactividad por ransomware, exposición regulatoria bajo leyes de protección de datos como la LGPD de Brasil o la Ley 1581 de Colombia, y un daño reputacional que dura mucho más que la interrupción. Una defensa por capas aporta valor medible:

• Menor probabilidad de brecha. Bloquear la ejecución de scripts para usuarios que no la necesitan elimina la herramienta favorita del atacante. La mayoría de los empleados nunca necesita ejecutar PowerShell.
• Contención más rápida. La detección de comportamiento y el monitoreo 24/7 reducen el tiempo entre el pegado y la respuesta de días a minutos, antes de que el movimiento lateral alcance los servidores.
• Menor radio de impacto. La segmentación de red y las políticas de acceso zero trust impiden que un portátil comprometido llegue a todo. Por eso un equipo infectado debe activar una revisión de credenciales y de movimiento lateral, no solo una reinstalación.
• Un firewall humano más sólido. La capacitación específica sobre CAPTCHA falsos cierra una brecha que los cursos de phishing tradicionales rara vez cubren, ya que no interviene ningún enlace ni adjunto en el sentido clásico.
• Preparación para auditorías. Los controles documentados, el registro y los procedimientos de respuesta a incidentes respaldan el cumplimiento de marcos como ISO 27001, NIST CSF y los requisitos de los ciberseguros.

¿Por qué las empresas necesitan un enfoque gestionado? Pocos equipos internos de TI pueden vigilar la telemetría de endpoints las 24 horas, ajustar reglas de detección a medida que evolucionan las variantes (ClickFix ya pasó del cuadro Ejecutar a Terminal, y en macOS a AppleScript) y, al mismo tiempo, mantener la operación diaria. Combinar servicios de TI gestionados para el endurecimiento de políticas y parches con un SOC que busca amenazas activas brinda protección de nivel empresarial sin tener que construirlo todo internamente.

HIT Communications ayuda desde hace más de 30 años a empresas de América Latina, Estados Unidos y Europa a proteger sus redes y comunicaciones. Nuestro enfoque frente a ataques tipo ClickFix combina personas, procesos y tecnología:

• SOC, SIEM y MDR gestionados. Nuestros servicios de ciberseguridad ofrecen monitoreo 24/7 que correlaciona señales de endpoints, red e identidad. Cadenas sospechosas, como un navegador que lanza PowerShell o una estación de trabajo con un túnel saliente inusual, son investigadas y contenidas por analistas en tiempo real.
• Endurecimiento de endpoints y políticas. A través de nuestros servicios de TI gestionados, implementamos y mantenemos restricciones de ejecución de scripts, registro, políticas de mínimo privilegio y copias de seguridad que el ransomware no puede alcanzar.
• Conectividad segura. Con SD-WAN, SASE y conectividad multioperador, aplicamos filtrado DNS y web, segmentación y acceso zero trust en cada sede, para que un solo dispositivo comprometido no pueda recorrer la red.
• Concienciación en seguridad. Ayudamos a sus equipos a reconocer CAPTCHA falsos, ventanas de error fraudulentas y señuelos por voz o chat que empujan al usuario a "ejecutar una solución rápida".

Como HIT opera la red, la plataforma de seguridad y los servicios de TI de forma conjunta, las alertas no se pierden entre proveedores. Un solo equipo ve la cadena completa, desde la página web que entregó el señuelo hasta el túnel que intentó salir de su red, y actúa en consecuencia.

ClickFix y TerminalFix muestran cómo operan los atacantes en 2026: no fuerzan la entrada, piden que les abran la puerta. Un CAPTCHA falso y un solo pegado bastaron para comprometer una institución estatal alemana y, según la prensa, abrir paso a uno de los ataques de ransomware más visibles del año contra una administración pública.

La buena noticia es que esta cadena de ataque tiene puntos de ruptura claros. Las organizaciones que restringen la ejecución de scripts, vigilan el comportamiento navegador→consola, monitorean los túneles salientes y capacitan a su personal sobre este señuelo específico pueden detener TerminalFix mucho antes de que se convierta en un incidente de ransomware.

Tres acciones para esta semana:

1. Informe a cada empleado: ningún sitio web legítimo le pedirá pegar un comando en Windows Terminal, PowerShell o el cuadro Ejecutar.
2. Revise si los usuarios estándar realmente necesitan PowerShell y active el registro de bloques de script en todos los equipos.
3. Confirme que alguien vigila sus endpoints y su red 24/7, y que un portátil infectado activa una investigación completa, no solo una reinstalación.

¿No está seguro de que sus defensas detectarían una intrusión de TerminalFix? Contacte a HIT Communications para una evaluación de seguridad y descubra cómo nuestro SOC gestionado, nuestros servicios de TI y nuestra conectividad segura pueden proteger a su organización.