ClickFix: el falso aviso de Cloudflare que te pide pegar un comando y roba tus contraseñas
Arctic Wolf Labs ha detectado una campaña que compromete webs de pequeños negocios ucranianos —una clínica capilar, una librería o tiendas de herramientas y de motor, entre otras— para mostrar a sus visitantes una falsa verificación de Cloudflare. La página copia en secreto un comando en el portapapeles y pide al usuario que pulse Windows + R, lo pegue y lo ejecute para «demostrar que no es un robot». Ese comando descarga e instala Psychedelic, un nuevo programa espía que roba las contraseñas guardadas en Chrome, Edge, Brave, Opera y otros navegadores, los tokens de sesión y las carteras de criptomonedas.
No es un caso aislado. Un informe de CTM360 ha localizado más de 17.000 URL infectadas con falsas páginas de Cloudflare y señala ClickFix como la forma más habitual de colarse hoy en las redes de las empresas, porque no necesita explotar ningún fallo ni adjuntar archivos: basta con convencer a la víctima. Incluso un dominio usado como ejemplo en la documentación técnica, third-party[.]com, citado en más de 1.700 repositorios de código, ha empezado a mostrar este engaño a los visitantes con Windows. La técnica ya se vende como un servicio por suscripción, lo que explica su rápida expansión.
Ninguna web legítima te pedirá nunca que abras la ventana Ejecutar (Windows + R), PowerShell o el Terminal para pegar un comando. Si una verificación te lo pide, cierra la página. En las empresas, conviene formar al personal sobre este engaño y restringir el uso de PowerShell a quien de verdad lo necesita.
Fuente: The Hacker News. Resumen elaborado por nuestro equipo con fines divulgativos.