ClickFix oculta el payload VBScript en la caché del navegador

ClickFix es una técnica de ingeniería social ya muy extendida: una falsa verificación, normalmente un CAPTCHA, convence a la víctima de pegar y ejecutar un comando preparado por el atacante. Microsoft Threat Intelligence ha descrito una variante que hace más difícil detectar las primeras fases del ataque: el script malicioso llega al equipo antes de que la víctima haga nada, oculto en la caché del navegador y disfrazado de imagen.

Qué ha pasado

Según Infosecurity Magazine, Microsoft describió la técnica en una publicación en X del 3 de octubre de 2026. Un grupo de sitios web comprometidos llevaba a los visitantes hacia el ataque: una falsa ventana CAPTCHA pedía abrir el cuadro Ejecutar de Windows, pegar el contenido del portapapeles y pulsar Intro.

La novedad está en el orden de las operaciones. El payload no se descarga después de la acción de la víctima: el sitio lo precarga en la caché del navegador mientras la página está abierta. El comando pegado solo tiene que encontrar y lanzar un archivo que ya está en el disco. Según Microsoft, esto sirve para dos cosas: ocultar el script y sortear el límite de caracteres del cuadro Ejecutar, que no admitiría un comando largo.

La cadena de ataque

Las fases descritas por Microsoft, en orden:

1. Comando en el cuadro Ejecutar: inicia cmd.exe, que busca en la carpeta del perfil del navegador los archivos en caché cuyo nombre empieza por f_ y compara el tamaño de cada uno con un valor esperado.
2. Identificación por tamaño: los ataques anteriores buscaban un marcador dentro del contenido de la caché; este reconoce el archivo correcto solo por su tamaño. Lo copia en una carpeta temporal con la extensión .vbs y lo ejecuta con wscript.exe.
3. Reconocimiento y segunda fase: el script VBScript recoge información del sistema mediante WMI, después descarga un script de PowerShell y lo ejecuta saltándose la execution policy.
4. Código en memoria: las fases siguientes compilan y cargan más código en memoria y lo inyectan en el proceso legítimo timeout.exe, para robar credenciales de los navegadores y del dispositivo.
5. Persistencia: el malware se conecta a los servidores de los atacantes, extrae una copia de Python con la herramienta del sistema tar.exe y crea una tarea programada que ejecuta un payload de Python mediante pythonw.exe. Así el acceso sobrevive al reinicio.

En las fuentes disponibles no hay dominios, direcciones IP ni hashes de archivos que puedan usarse como indicadores de compromiso.

También los registros DNS TXT

Dark Reading enmarca la campaña en una evolución más amplia de ClickFix: además de la precarga en la caché del navegador, señala el uso de registros DNS TXT para ocultar los payloads, con el mismo objetivo de hacer menos visibles las primeras fases del ataque. Las fuentes disponibles no dan detalles técnicos sobre esta variante.

Técnicas MITRE ATT&CK

Las fases descritas corresponden a estas técnicas:

• User Execution: Malicious Copy and Paste (T1204.004), el comando pegado por la víctima;
• Command and Scripting Interpreter: Windows Command Shell (T1059.003), Visual Basic (T1059.005) y PowerShell (T1059.001);
• Windows Management Instrumentation (T1047), para el reconocimiento;
• Process Injection (T1055), en el proceso timeout.exe;
• Credentials from Web Browsers (T1555.003);
• Scheduled Task (T1053.005), para la persistencia.

Impacto para las empresas europeas e italianas

La técnica no aprovecha una vulnerabilidad del software: aprovecha al usuario, que ejecuta el comando con sus propios permisos. Por eso ninguna actualización la bloquea por sí sola. La precarga en la caché resta utilidad a los controles basados en las descargas: el archivo llega como un recurso normal de la página y el comando pegado no contiene ninguna dirección de descarga.

El objetivo final son las credenciales guardadas en los navegadores: accesos al correo, a las aplicaciones de gestión, a los servicios en la nube y a los portales de los proveedores. Un solo equipo comprometido puede abrir el camino hacia otros sistemas. Para las entidades sujetas a NIS2, la higiene informática básica y la formación del personal forman parte de las medidas de gestión de riesgos; en la sanidad, donde desde los puestos de trabajo se accede a menudo a portales con datos de pacientes, el robo de credenciales del navegador tiene consecuencias especialmente delicadas.

Qué hacer ya

1. Activa las protecciones que recomienda Microsoft: protección basada en la nube, protección de red, control de aplicaciones y registro de bloques de script de PowerShell (script block logging). Microsoft Defender Antivirus detecta la ejecución de los comandos maliciosos como Trojan:Win32/ClickFix y Trojan:Win32/TermFix.
2. Busca más allá de las descargas, como sugiere Microsoft: actividad del navegador, ejecuciones anómalas de wscript.exe y PowerShell, nuevas tareas programadas y la clave del registro RunMRU (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU), que guarda los comandos escritos en el cuadro Ejecutar.
3. Revisa las cadenas de procesos: cmd.exe que lee archivos de la caché del navegador, archivos .vbs en carpetas temporales, tar.exe que extrae archivos comprimidos, pythonw.exe iniciado por una tarea programada.
4. Reduce las herramientas disponibles: para los usuarios que no los necesitan, valora desactivar el cuadro Ejecutar y Windows Script Host mediante directivas de grupo, y limita con el control de aplicaciones los intérpretes que pueden iniciarse.
5. Informa al personal con un mensaje sencillo, el mismo de Microsoft: un CAPTCHA nunca pide ejecutar código. Quien vea una petición así debe cerrar la página y avisar a TI.
6. Si encuentras un equipo afectado, aíslalo y considera comprometidas las credenciales guardadas en sus navegadores: hay que cambiarlas, empezando por las cuentas con privilegios.

Cómo ayuda ARXDOME

ARX Sentry recoge logs y eventos de seguridad de equipos y servidores y los agrupa en familias como ejecuciones sospechosas y persistencia, con las tácticas MITRE ATT&CK en las páginas del SOC. Con ARX Trace, los analistas lanzan recogidas y búsquedas en varias máquinas y revisan los cambios en los archivos, útiles para buscar rastros como las entradas de RunMRU o los archivos .vbs en carpetas temporales. ARX Shield muestra el estado de la protección de cada máquina y permite aislar de la red un equipo sospechoso.

Última actualización: 6 de octubre de 2026