Auge de la táctica ClickFix: el uso de CAPTCHAs falsos como vector de acceso inicial crece un 517% en 2024

## Introducción

Durante el primer semestre de 2024, los equipos de ciberseguridad han detectado un alarmante incremento en el uso de tácticas de ingeniería social para el acceso inicial a sistemas, destacando una técnica denominada “ClickFix”. De acuerdo con datos de ESET, la prevalencia de esta táctica —que explota verificaciones CAPTCHA fraudulentas— ha experimentado un crecimiento del 517% con respecto al segundo semestre de 2023. Este método, cada vez más sofisticado, ha diversificado su utilización para entregar desde infostealers y ransomware hasta herramientas avanzadas de post-explotación.

## Contexto del Incidente

El vector ClickFix se fundamenta en engañar al usuario mediante la presentación de supuestas verificaciones CAPTCHA en páginas web comprometidas o maliciosas. A diferencia de los esquemas de phishing tradicionales, aquí la interacción del usuario va más allá de un simple clic en un enlace: se le solicita completar un CAPTCHA aparentemente legítimo, que en realidad desencadena la descarga de malware o la ejecución de scripts maliciosos. Esta táctica se está consolidando como uno de los principales métodos de acceso inicial, sobre todo en campañas masivas dirigidas tanto a usuarios finales como a empleados de corporaciones.

El auge de ClickFix coincide con la tendencia de los atacantes de perfeccionar las técnicas de ingeniería social y el uso de plantillas de phishing cada vez más verosímiles, aumentando la tasa de éxito de las campañas y superando controles de seguridad convencionales, como filtros de correo o soluciones de sandboxing.

## Detalles Técnicos

### Vectores de ataque y funcionamiento

Las campañas basadas en ClickFix se distribuyen, fundamentalmente, mediante correos electrónicos de phishing, mensajes instantáneos (SMS, aplicaciones de mensajería) o redireccionamientos desde sitios comprometidos. Los usuarios son dirigidos a una página web que simula un proceso de verificación CAPTCHA, generalmente con componentes visuales idénticos a los servicios legítimos (Google reCAPTCHA, hCaptcha, etc.).

Al interactuar con el falso CAPTCHA, se produce uno de los siguientes escenarios:

– **Descarga directa de archivos ejecutables** (.exe, .scr, .js, .zip, etc.).
– **Ejecución de JavaScript inyectado** que explota vulnerabilidades del navegador o inicia la descarga de payloads adicionales.
– **Redireccionamiento a exploit kits**, como RIG o Fallout, que intentan comprometer el sistema mediante vulnerabilidades conocidas (CVE-2023-23397, CVE-2024-21412, entre otras).

### TTPs y MITRE ATT&CK

Las técnicas y tácticas asociadas, según el framework MITRE ATT&CK, incluyen:

– **Initial Access: Phishing (T1566)**
– **Execution: User Execution (T1204)**
– **Defense Evasion: Obfuscated Files or Information (T1027)**
– **Command and Control: Web Service (T1102)**

### Malware y herramientas distribuidas

Las amenazas más habituales distribuidas mediante campañas ClickFix incluyen:

– **Infostealers** (RedLine, Vidar, Lumma)
– **Ransomware** (BlackCat/ALPHV, LockBit)
– **Remote Access Trojans** (RATs como Remcos, njRAT)
– **Cryptominers** (XMRig)
– **Herramientas de post-explotación** (Cobalt Strike, Metasploit)

Existen indicadores de compromiso (IoC) relacionados, como dominios de landing comprometidos, hashes de ejecutables y patrones de tráfico hacia C2.

## Impacto y Riesgos

El impacto de ClickFix es significativo tanto para empresas como para usuarios particulares. Se estima que al menos un 20% de las infecciones iniciales detectadas en campañas recientes se originaron a través de este método. El riesgo principal radica en la facilidad con la que los usuarios pueden ser engañados, ya que el uso de CAPTCHAs falsos no despierta sospechas inmediatas y eludir soluciones de EDR o antivirus tradicionales es más sencillo al tratarse de ejecución legítima bajo el contexto del usuario.

En el plano corporativo, los ataques ClickFix han facilitado accesos iniciales para comprometer redes, desplegar ransomware y extraer grandes volúmenes de información sensible, con pérdidas económicas que pueden superar los 4 millones de euros por incidente según el último informe de IBM.

## Medidas de Mitigación y Recomendaciones

Para mitigar los riesgos asociados a ClickFix, se recomiendan las siguientes acciones:

– **Capacitación continua** de empleados sobre ingeniería social y reconocimiento de CAPTCHAs sospechosos.
– **Implementación de soluciones anti-phishing** avanzadas, capaces de analizar comportamientos y patrones de páginas web.
– **Bloqueo de dominios y URLs** conocidos asociados a campañas de ClickFix mediante threat intelligence actualizada.
– **Restricción de ejecución de scripts** y descargas automáticas en navegadores corporativos.
– **Actualización y parcheo** constante de navegadores, plugins y sistemas operativos para reducir la superficie de explotación.
– **Monitorización de IoCs** relacionados mediante SIEM y herramientas de threat hunting.

## Opinión de Expertos

Expertos del sector, como Josep Albors (director de investigación de ESET España), advierten que “el auge del ClickFix demuestra que los atacantes están invirtiendo más en técnicas de ingeniería social y en la explotación de la confianza del usuario”. Además, señalan que los controles técnicos deben ir acompañados de una concienciación efectiva para reducir la tasa de éxito de estas campañas.

Por su parte, analistas del CERT de INCIBE inciden en la importancia de la colaboración sectorial para el intercambio de IoCs y patrones emergentes.

## Implicaciones para Empresas y Usuarios

La proliferación de ClickFix obliga a las empresas a revisar sus estrategias de defensa, no solo a nivel tecnológico sino también en el plano de la formación y concienciación. Bajo el marco regulatorio actual (GDPR, NIS2), las organizaciones deben garantizar la protección proactiva frente a vectores de ingeniería social, implementando controles de acceso y segmentación de red para limitar el alcance de posibles compromisos.

Para los usuarios, la advertencia es clara: ninguna verificación CAPTCHA debería solicitar la descarga de archivos o la ejecución de scripts más allá de la interacción básica.

## Conclusiones

La evolución de ClickFix como vector de acceso inicial pone de manifiesto la necesidad de adaptar las estrategias de defensa a un escenario donde la ingeniería social y la manipulación del usuario son los principales puntos de entrada. La respuesta debe combinar tecnología, procesos y formación para mitigar los riesgos asociados y cumplir con los requisitos legales y regulatorios del entorno europeo.

(Fuente: feeds.feedburner.com)