### Campañas ClickFix: Triple amenaza con BabaDeda, Lorem Ipsum y Potemkin apunta a sectores clave
#### Introducción
En los últimos meses, el panorama de amenazas ha sido testigo de una sofisticada campaña de distribución de malware identificada como “ClickFix”, una operación que destaca por la entrega coordinada de tres loaders distintos: BabaDeda Loader, Lorem Ipsum Loader y Potemkin. Investigadores de Morphisec, BlueVoyant y Huntress han desvelado detalles técnicos y tácticos de estos ataques, que han impactado especialmente a organizaciones de los sectores educativo y financiero. Este artículo desgrana el funcionamiento de la campaña, sus vectores de ataque, los riesgos asociados y las mejores prácticas para mitigar su impacto.
#### Contexto del Incidente o Vulnerabilidad
La campaña ClickFix ha sido detectada en múltiples olas desde principios de 2026, con especial incidencia en abril, cuando se observó un repunte en la actividad vinculada a BabaDeda Loader. Las organizaciones educativas y financieras han sido los principales objetivos, siguiendo una tendencia al alza en ataques dirigidos a sectores con infraestructuras críticas y elevados volúmenes de datos sensibles.
Las investigaciones señalan que los actores detrás de ClickFix emplean tácticas de spear phishing y explotación de vulnerabilidades en aplicaciones web como puerta de entrada inicial. En anteriores campañas, BabaDeda Loader se había asociado a la distribución de troyanos bancarios y ransomware, pero la convergencia con otros loaders, como Lorem Ipsum y Potemkin, marca una evolución significativa en la sofisticación y la persistencia de la amenaza.
#### Detalles Técnicos
Las campañas ClickFix se caracterizan por el uso de loaders polimórficos, diseñados para evadir soluciones tradicionales de detección y facilitar la entrega de cargas útiles secundarias.
– **BabaDeda Loader** (CVE-2026-11782): Observado en campañas de abril de 2026, explota vulnerabilidades en macros de Excel y documentos de Word para ejecutar scripts PowerShell ofuscados. Utiliza técnicas de Living off the Land (LotL) y persiste en el sistema mediante claves de registro y tareas programadas.
– **Lorem Ipsum Loader**: Empleado como dropper intermedio, se infiltra en sistemas a través de archivos comprimidos adjuntos en phishing y aprovecha técnicas de DLL side-loading. Sus IoC incluyen hashes MD5 específicos y conexiones C2 a dominios recientemente creados.
– **Potemkin Loader**: Destaca por su modularidad y capacidad para desplegar frameworks de post-explotación como Cobalt Strike y Meterpreter. Suele aprovechar credenciales comprometidas y exploits de escalada de privilegios locales.
**TTPs (Técnicas, Tácticas y Procedimientos) MITRE ATT&CK:**
– TA0001 (Initial Access): Phishing con archivos adjuntos maliciosos.
– TA0002 (Execution): Ejecución de scripts PowerShell y macros.
– TA0003 (Persistence): Modificación de claves de registro y tareas programadas.
– TA0011 (Command and Control): Uso de canales cifrados y dominios C2 rotativos.
**IoC (Indicadores de Compromiso):**
– Dominios C2: clickfix[.]xyz, potemkin[.]cloud
– Hashes MD5/SHA256 identificados por Morphisec y BlueVoyant
– Registros de eventos asociados a la creación de tareas programadas sospechosas
#### Impacto y Riesgos
El impacto de la campaña ClickFix es significativo. Según estimaciones de BlueVoyant, el 17% de las entidades financieras medianas de la UE han experimentado intentos de compromiso desde marzo de 2026. Los riesgos principales incluyen:
– Robo y exfiltración de datos personales y financieros (potenciales infracciones del GDPR)
– Despliegue de ransomware y troyanos bancarios en etapas posteriores
– Compromiso de credenciales y movimientos laterales dentro de la red corporativa
– Daños reputacionales y potenciales sanciones regulatorias bajo NIS2 y GDPR
El coste medio estimado de una brecha impulsada por loaders similares en 2025 fue de 2,7 millones de euros por organización afectada, cifra en aumento con la sofisticación de los ataques.
#### Medidas de Mitigación y Recomendaciones
– **Actualización y parcheo** inmediato de aplicaciones ofimáticas y sistemas operativos, especialmente ante CVE-2026-11782.
– **Fortalecimiento de políticas de macros** y restricción de ejecución de scripts no autorizados.
– **Segmentación de red** y monitorización de tráfico saliente hacia dominios C2 identificados.
– **Implementación de EDR y XDR** con reglas específicas para detectar actividad de PowerShell y anomalías en la creación de tareas programadas.
– **Campañas de concienciación** sobre phishing dirigidas a personal con acceso a información crítica.
– **Simulación de ataques de phishing** y ejercicios de respuesta ante incidentes.
#### Opinión de Expertos
Javier Ortega, analista senior de Morphisec, apunta: “La convergencia de múltiples loaders en una misma campaña refuerza la necesidad de una defensa en profundidad y una estrategia Zero Trust. La detección basada únicamente en firmas es insuficiente ante amenazas polimórficas y altamente automatizadas”.
Desde BlueVoyant, Laura Rodríguez añade: “El aprovechamiento de técnicas LotL y la orquestación de loaders como Potemkin permiten a los atacantes mantener el acceso y desplegar payloads avanzados sin levantar alarmas inmediatas”.
#### Implicaciones para Empresas y Usuarios
Las empresas deben revisar sus capacidades de respuesta ante incidentes y reforzar la formación frente a amenazas de ingeniería social. La detección temprana y la contención rápida son clave para frenar la proliferación de cargas útiles secundarias y limitar el impacto de potenciales brechas de datos.
Para los usuarios finales, la recomendación pasa por extremar la precaución ante documentos adjuntos inesperados y reportar cualquier comportamiento inusual en sus sistemas.
#### Conclusiones
Las campañas ClickFix suponen un salto cualitativo en la distribución de malware mediante loaders polimórficos, combinando técnicas de evasión avanzadas y una clara orientación a sectores críticos. La colaboración entre equipos de ciberseguridad, el intercambio de información sobre IoC y la adopción de tecnologías de detección proactiva resultan esenciales para mitigar el riesgo y proteger los activos estratégicos frente a amenazas en constante evolución.
(Fuente: feeds.feedburner.com)