ClickFix hackers suplantan a empresas de capital riesgo para atacar a usuarios de criptomonedas, exposición a través de QuickLens malicioso

La compañía de ciberseguridad Moonlock Lab publicó el lunes un informe que revela las últimas técnicas de ataque de hackers en criptomonedas centradas en la metodología “ClickFix”: los estafadores se disfrazan de empresas de inversión como SolidBit, MegaBit y otras, contactando a profesionales del sector en LinkedIn para ofrecer oportunidades de colaboración, y finalmente inducen a las víctimas a ejecutar comandos maliciosos en sus terminales, robando activos criptográficos.

Análisis de la técnica de ataque ClickFix: convertir a la víctima en ejecutora del ataque

La innovación principal de ClickFix radica en revolucionar la vía de infección tradicional del malware. El proceso de ataque generalmente incluye las siguientes etapas:

Primera fase (ingeniería social en LinkedIn): Los hackers contactan a los objetivos con perfiles falsos de empresas de inversión, ofreciendo oportunidades de colaboración aparentemente legítimas para generar confianza inicial.

Segunda fase (enlace falso de videollamada): Dirigen a las víctimas a enlaces fraudulentos que parecen ser de Zoom o Google Meet, accediendo a una “página de evento” simulada.

Tercera fase (secuestro del portapapeles): La página muestra un falso cuadro de verificación “No soy un robot” de Cloudflare; al hacer clic, los comandos maliciosos se copian silenciosamente al portapapeles del usuario.

Cuarta fase (autoejecución): Se solicita al usuario abrir la terminal y pegar un “código de verificación”, en realidad ejecutando instrucciones de ataque.

El equipo de investigación de Moonlock Lab señala: “La eficiencia de ClickFix radica en que convierte a la propia víctima en mecanismo de ejecución del ataque. Al hacer que la víctima pegue y ejecute comandos, el atacante evita las defensas tradicionales del sector de seguridad, sin necesidad de explotar vulnerabilidades ni activar descargas sospechosas.”

Detalles del incidente de secuestro de QuickLens y lista de funciones maliciosas

El caso de secuestro de QuickLens presenta otra vía de ataque — un ataque en la cadena de suministro dirigido a usuarios legítimos existentes:

• 1 de febrero: Transferencia de propiedad de la extensión QuickLens.
• Dos semanas después: La nueva propiedad lanza una actualización con scripts maliciosos.
• 23 de febrero: El investigador de seguridad Tuckner revela que la extensión fue retirada de Chrome Web Store.

Lista de funciones maliciosas:

• Buscar y robar datos de monederos de criptomonedas y frases semilla (Seed Phrase).
• Acceder al contenido de la bandeja de entrada de Gmail del usuario.
• Robar datos del canal de YouTube.
• Capturar credenciales de inicio de sesión y datos de pago ingresados en formularios web.

Según un informe de eSecurity Planet, esta extensión secuestrada despliega tanto el módulo de ataque ClickFix como otras herramientas de robo de información, demostrando que los actores detrás tienen capacidades para coordinar múltiples herramientas.

Contexto de amenaza más amplio de ClickFix

Moonlock Lab indica que la tecnología ClickFix se ha popularizado rápidamente entre los actores de amenazas desde 2025, destacando que su ventaja principal radica en aprovechar comportamientos humanos en lugar de vulnerabilidades de software, lo que permite evadir los mecanismos de detección tradicionales.

El departamento de inteligencia de amenazas de Microsoft advirtió en agosto de 2025 que continúan rastreando “ataques diarios contra miles de empresas y dispositivos finales en todo el mundo”; en un informe de julio de 2025, Unit42 confirmó que ClickFix ya afecta a sectores como manufactura, comercio mayorista y minorista, gobiernos estatales y locales, y servicios públicos de energía, superando ampliamente el ámbito de las criptomonedas.

Preguntas frecuentes

¿Por qué el ataque ClickFix puede evadir antivirus y software de seguridad?

Los antivirus tradicionales detectan y bloquean programas sospechosos mediante la identificación de código malicioso. ClickFix rompe con esto al hacer que la “persona” sea la ejecutora: el usuario ingresa y ejecuta comandos voluntariamente, en lugar de que el malware se instale automáticamente. Esto dificulta que las herramientas de detección comportamental identifiquen la amenaza, ya que la acción parece ser una operación normal del usuario en la terminal.

¿Cómo identificar ataques de ingeniería social como ClickFix?

Las señales principales incluyen: recibir ofertas de colaboración de cuentas desconocidas en LinkedIn, ser solicitado a ingresar un “código de verificación” o “pasos de reparación” tras hacer clic en enlaces de reuniones, instrucciones para abrir la terminal y pegar códigos, y páginas falsas que imitan Cloudflare o CAPTCHA. La regla de seguridad es que ningún servicio legítimo requiere que el usuario ejecute comandos en la terminal para verificar su identidad.

¿Qué acciones deben tomar los usuarios de QuickLens ahora?

Si han instalado la extensión QuickLens, deben eliminarla inmediatamente del navegador, cambiar todas las contraseñas de monederos de criptomonedas afectados (generando nuevas frases semilla y transfiriendo fondos a nuevos monederos), y restablecer las contraseñas de Gmail y otras cuentas relacionadas. Se recomienda revisar periódicamente las extensiones instaladas y estar alerta ante cambios recientes en la propiedad de las mismas.