Chrome: avisos contra ClickFix y análisis Gemini de estafas

Google ha anunciado nuevas defensas de Chrome contra estafas e ingeniería social. La más interesante para quien gestiona puestos de trabajo en una empresa tiene que ver con ClickFix: Chrome ahora puede detectar cuándo un usuario copia un comando malicioso de una página web y mostrarle un aviso antes de que lo ejecute. Las novedades, publicadas por Help Net Security, The Hacker News, SecurityWeek y BleepingComputer, afectan casi todas al modo Protección mejorada (Enhanced Protection) de Navegación segura; el control de las conexiones HTTP, en cambio, se aplica a todos.

Qué ha cambiado

Las fuentes describen cuatro cambios:

1. Dos niveles de aviso en los sitios. El aviso rojo a pantalla completa se mantiene para los sitios que Navegación segura considera peligrosos con alta confianza. Se añade un nivel de «sitio sospechoso» para los veredictos menos seguros: páginas con patrones engañosos típicos de sitios maliciosos ya conocidos. Según SecurityWeek, es el mismo modelo de dos niveles que ya se usaba para las descargas. Google explica que un diseño propio le permite mostrar más avisos sin molestar demasiado.
2. Análisis de estafas con Gemini en los servidores. El modelo que funcionaba en el dispositivo y solo buscaba estafas de falso soporte técnico se ha sustituido por un modelo en el servidor, disponible para todos los usuarios de la Protección mejorada. Ahora reconoce también los falsos antivirus y las falsas actualizaciones del navegador. Evalúa la marca mostrada, el propósito de la página y la probabilidad de estafa; Navegación segura combina este juicio con la reputación del dominio y otras señales.
3. Avisos sobre los comandos ClickFix copiados (detalles en el apartado siguiente).
4. Confirmación antes de las conexiones HTTP. Según SecurityWeek, Chrome pide ahora permiso a todos los usuarios antes de abrir un sitio por HTTP sin cifrar, una función que llegó antes, este año, a quien usaba la Protección mejorada.

Cómo funciona el control sobre ClickFix

En los ataques ClickFix una página inventa un problema (un CAPTCHA que superar, un error que «corregir») y pide a la víctima que copie un comando y lo pegue en el terminal o en la ventana Ejecutar. Help Net Security recuerda que el comando copiado puede ser distinto del que se muestra en pantalla. Normalmente lanza herramientas ya presentes en el sistema, como PowerShell y cmd.exe, que descargan e instalan el malware.

El punto débil que se aprovecha es concreto: la descarga no pasa por el navegador sino por el terminal, así que las protecciones de Chrome y Navegación segura sobre las descargas nunca intervienen. Por eso Google ha trasladado el control al momento de la copia. Cuando un usuario con Protección mejorada copia un texto que parece un script ClickFix, Chrome elimina del portapapeles los datos personales, envía el contenido a Navegación segura y, si el veredicto es «peligroso», muestra un aviso. Google afirma que ha apostado por la alta precisión, para no entorpecer el trabajo legítimo de los desarrolladores.

Las fuentes no indican una versión de Chrome, los plazos de despliegue ni los sistemas operativos afectados; BleepingComputer habla de comandos de PowerShell y Símbolo del sistema, es decir, de Windows. Las fuentes no aclaran si el usuario puede ignorar el aviso: BleepingComputer escribe que aparece «antes de continuar».

Técnicas MITRE ATT&CK

El control actúa sobre estas técnicas:

• User Execution: Malicious Copy and Paste (T1204.004), el comando que pega la víctima;
• Command and Scripting Interpreter: PowerShell (T1059.001) y Windows Command Shell (T1059.003);
• Ingress Tool Transfer (T1105), la descarga del malware desde el terminal en lugar del navegador.

Datos enviados a Google

Google afirma que el texto de la página se analiza en sus servidores solo cuando un sitio muestra fuertes indicios de estafa, y que los contenidos enviados se tratan de forma efímera: no se registran, no se conservan ni se usan para entrenar modelos. En el caso del portapapeles, los datos personales se eliminan antes del envío. Para una empresa europea siguen siendo contenidos de trabajo que salen del dispositivo: la decisión de activar la Protección mejorada en todos los puestos conviene valorarla también con quien se ocupa de la protección de datos.

Impacto para las empresas europeas e italianas

ClickFix no aprovecha una vulnerabilidad: aprovecha al usuario, que ejecuta el comando con sus propios permisos. Un aviso del navegador en el momento de la copia es una capa de defensa más, pero solo cubre Chrome con la Protección mejorada activada. Quedan fuera los demás navegadores y los comandos que llegan por otras vías, como el correo, los chats o los documentos.

El dato de «diez veces más seguros» que con la protección estándar, citado por Google, se basa en el número medio de avisos mostrados a los dos grupos de usuarios: mide cuántos avisos aparecen, no cuántos ataques tienen éxito.

El control sobre HTTP afecta también a las aplicaciones internas. Según Google, no salta con nombres de host de una sola palabra ni con direcciones IP locales; según esta descripción, las aplicaciones internas accesibles por HTTP con un nombre de dominio completo deberían mostrar en cambio la solicitud de confirmación en la primera visita, y de nuevo tras al menos dos semanas sin visitas.

Para las entidades sujetas a NIS2, la higiene informática básica y la formación del personal forman parte de las medidas de gestión del riesgo. En el sector sanitario, donde desde los puestos se accede a portales con datos de pacientes, un solo comando pegado puede llevar al robo de las credenciales de esos portales.

Qué hacer ya

1. Valora la Protección mejorada en los puestos gestionados: con las políticas empresariales de Chrome se fija el nivel de Navegación segura (SafeBrowsingProtectionLevel). Implica al delegado de protección de datos por el envío de contenidos a Google.
2. Haz inventario de las aplicaciones internas en HTTP y pásalas a HTTPS, o avisa a los usuarios de la nueva solicitud de confirmación.
3. No confíes solo en el navegador: limita PowerShell y los intérpretes de scripts a los usuarios que no los necesitan, valora desactivar la ventana Ejecutar mediante directivas de grupo y activa el registro de bloques de scripts de PowerShell.
4. Busca rastros: procesos powershell.exe o cmd.exe lanzados por explorer.exe con comandos de descarga, conexiones salientes justo después, entradas recientes en la clave RunMRU del registro.
5. Informa al personal: ninguna verificación legítima pide copiar y ejecutar un comando. Quien vea un aviso de Chrome sobre un comando copiado debe detenerse y avisar a TI.

Cómo ayuda ARXDOME

ARX Sentry recoge registros y eventos de seguridad de ordenadores y servidores y los agrupa en familias como las ejecuciones sospechosas, con las tácticas MITRE ATT&CK en las páginas del SOC: un comando ClickFix ejecutado deja rastro aunque el navegador no lo haya detenido. Con ARX Trace los analistas lanzan búsquedas en varias máquinas, por ejemplo sobre las ejecuciones de PowerShell, y ARX Shield permite aislar de la red un ordenador sospechoso.

Última actualización: 21 de octubre de 2026