ClickFix: el falso aviso de Cloudflare que te pide pegar un comando y roba tus contraseñas

Arctic Wolf Labs ha detectado una campaña que compromete webs de pequeños negocios ucranianos —una clínica capilar, una librería o tiendas de herramientas y de motor, entre otras— para mostrar a sus visitantes una falsa verificación de Cloudflare. La página copia en secreto un comando en el portapapeles y pide al usuario que pulse Windows + R, lo pegue y lo ejecute para «demostrar que no es un robot». Ese comando descarga e instala Psychedelic, un nuevo programa espía que roba las contraseñas guardadas en Chrome, Edge, Brave, Opera y otros navegadores, los tokens de sesión y las carteras de criptomonedas.

No es un caso aislado. Un informe de CTM360 ha localizado más de 17.000 URL infectadas con falsas páginas de Cloudflare y señala ClickFix como la forma más habitual de colarse hoy en las redes de las empresas, porque no necesita explotar ningún fallo ni adjuntar archivos: basta con convencer a la víctima. Incluso un dominio usado como ejemplo en la documentación técnica, third-party[.]com, citado en más de 1.700 repositorios de código, ha empezado a mostrar este engaño a los visitantes con Windows. La técnica ya se vende como un servicio por suscripción, lo que explica su rápida expansión.