Ataques ‘ClickFix’ Evolucionan: Ciberdelincuentes Suplantan Firmas de VC y Comprometen Extensión Chrome para Robar Cripto

Reportes de ciberseguridad detallan dos nuevas modalidades de la técnica que engaña a las víctimas para que ejecuten manualmente malware, evadiendo controles de seguridad tradicionales.

Ciberdelincuentes están refinando los ataques de ingeniería social “ClickFix” para robar criptomonedas, adoptando dos nuevas y sofisticadas tácticas. Según reportes recientes de firmas de ciberseguridad, ahora suplantan firmas de capital de riesgo en LinkedIn y han comprometido una extensión popular de Chrome con miles de usuarios. La técnica, que fuerza a la víctima a ejecutar manualmente el código malicioso, continúa eludiendo las defensas de seguridad convencionales.

La Nueva Cara del Engaño: Suplantación de Firmas de Capital Riesgo en LinkedIn

Los atacantes han comenzado a utilizar perfiles falsos en la red profesional LinkedIn, haciéndose pasar por representantes de firmas de capital de riesgo (VC) como SolidBit, MegaBit y Lumax Capital. El objetivo es establecer credibilidad inicial para luego lanzar el ataque.

El Modus Operandi Detallado

El esquema inicia con un mensaje en LinkedIn que ofrece una oportunidad de asociación o inversión. Una vez establecido el contacto, los estafadores canalizan a la víctima hacia un enlace falso que simula ser una invitación a una reunión en Zoom o Google Meet. Al acceder al enlace, la víctima llega a una página web fraudulenta que imita un evento legítimo.

Esta página contiene un checkbox de verificación Cloudflare falso, similar al típico “No soy un robot”. Sin embargo, al hacer clic en él, no se resuelve un captcha, sino que se copia automáticamente un comando malicioso en el portapapeles de la computadora del usuario. La víctima es entonces instada a abrir la terminal o consola de su sistema y pegar el comando para “completar la verificación” o “unirse a la reunión”, ejecutando así manualmente el payload del ataque.

La Eficacia de la Técnica ClickFix

“Al convertir a la víctima en el mecanismo de ejecución… los atacantes eluden los controles… Sin exploit. Sin descarga sospechosa”

La potencia de esta técnica, según explica Moonlock Lab, radica en su simplicidad engañosa. Este método evade software antivirus y controles de red diseñados para bloquear descargas automáticas de archivos sospechosos o la explotación de vulnerabilidades, ya que la acción maliciosa la realiza el propio usuario.

Identidades Rotativas y Sofisticación

Los investigadores han identificado el alias “Mykhailo Hureiev”, presentado como co-fundador de SolidBit Capital, como un punto de contacto principal en esta campaña. Reportes de usuarios en la red social X también han mencionado conversaciones sospechosas con individuos usando identidades similares. Moonlock Lab destaca que la infraestructura detrás de esta campaña es sofisticada y está diseñada para rotar identidades y dominios una vez que una fachada es expuesta, lo que dificulta su rastreo y bloqueo permanente.

Infiltración en el Navegador: La Extensión QuickLens Comprometida

Paralelamente, otra variante del ataque ClickFix ha surgido a través del compromiso de software legítimo. La extensión para Chrome “QuickLens”, utilizada para realizar búsquedas mediante Google Lens, se convirtió en un vector de ataque tras cambiar de propiedad.

La Toma de Control de QuickLens

QuickLens era una extensión legítima hasta que cambió de propietario el 1 de febrero de 2026. Aproximadamente dos semanas después, a mediados de febrero, se liberó una nueva versión maliciosa. John Tuckner de Annex Security reportó la vulneración, lo que llevó a la eliminación de la extensión del Chrome Web Store el 23 de febrero. Se estima que QuickLens tenía alrededor de 7,000 usuarios activos en el momento del incidente.

El Alcance del Robo de Datos

La versión comprometida de QuickLens ejecutaba scripts para facilitar ataques ClickFix e incorporaba otras herramientas diseñadas para el robo de información. Su objetivo principal eran los datos relacionados con criptomonedas, incluyendo información de carteras digitales y las frases semilla (seed phrases) que dan acceso a ellas. De acuerdo con un reporte de eSecurity Planet del 2 de marzo, la extensión también robaba el contenido de bandejas de entrada de Gmail, datos de canales de YouTube, credenciales de inicio de sesión e información de pago ingresada en formularios web.

Contexto y Alcance Industrial de los Ataques ClickFix

Los incidentes actuales no son aislados, sino parte de una tendencia creciente que preocupa a los expertos en ciberseguridad.

Una Técnica en Ascenso

La técnica ClickFix ha ganado popularidad entre actores maliciosos desde el año pasado. Investigadores de seguridad la han estado rastreando y documentando desde al menos 2024, observando una evolución constante en sus tácticas.

Más Allá del Sector Cripto: Un Problema Transversal

Aunque los reportes recientes se centran en el robo de criptoactivos, la amenaza es mucho más amplia. Microsoft Threat Intelligence advirtió en agosto de 2025 sobre campañas ClickFix dirigidas a “miles de dispositivos empresariales y de usuario final globalmente cada día”. Un reporte de Unit42 de julio de 2025 detalló el impacto de esta técnica en una variedad de sectores, incluyendo manufactura, comercio mayorista y minorista, gobiernos estatales y locales, y servicios públicos y de energía. Esto subraya que el ClickFix es una amenaza transversal para la seguridad digital.

Recomendaciones de Seguridad y Conclusión

Frente a la sofisticación de estos ataques, la precaución y la verificación son las defensas más efectivas.

Medidas de Precaución para Usuarios

Los expertos recomiendan a los usuarios, especialmente aquellos en el ecosistema cripto, tomar las siguientes medidas:

• Verificar meticulosamente la identidad de contactos inesperados en LinkedIn, particularmente aquellos que ofrecen oportunidades financieras o de asociación.
• Desconfiar de enlaces que redirigen a plataformas de reunión como Zoom o Google Meet cuando provienen de contextos no laborales establecidos o de desconocidos.
• Nunca copiar y ejecutar comandos en la terminal o consola siguiendo instrucciones de una página web o de un contacto no verificado.
• Revisar y auditar regularmente las extensiones instaladas en el navegador, eliminando aquellas no esenciales o de desarrolladores no confiables. Prestar atención a cambios de propiedad o actualizaciones repentinas en extensiones previamente instaladas.
• Para la seguridad de criptoactivos, se recomienda el uso de billeteras de hardware para almacenar cantidades significativas y nunca ingresar frases semilla directamente en el navegador web.

Conclusión

Los ataques ClickFix representan un giro peligroso en la ingeniería social, explotando la confianza del usuario y su disposición a realizar acciones manuales aparentemente inocuas. La evolución reciente, que incluye la suplantación de firmas de capital de riesgo de prestigio y el secuestro de extensiones de navegador legítimas, subraya la creciente sofisticación y adaptabilidad de estas amenazas. En un panorama donde el eslabón humano es explotado para eludir defensas técnicas, la concienciación y la verificación rigurosa siguen siendo las barreras primarias de protección.