Pegar un comando en tu ordenador puede parecer inofensivo, pero se ha convertido en la pesadilla de la ciberseguridad. Una técnica de ingeniería social llamada ClickFix ha escalado hasta convertirse en el principal método de distribución de malware en la primera mitad de 2026, afectando tanto a Windows como a macOS.

Según un análisis de ReliaQuest que examinó ciberataques entre el 1 de marzo y el 31 de mayo de 2026, ClickFix dominó la entrega de software malicioso. La clave de su éxito es que engaña a la víctima para que pegue comandos proporcionados por el atacante dentro de herramientas legítimas del sistema, como PowerShell, el Símbolo del sistema o Script Editor. Al ejecutarse desde un diálogo de confianza, el antivirus suele considerar la acción como legítima, saltándose las defensas.

El truco del CAPTCHA falso

El cebo más común, según los informes, es una página web comprometida que muestra un falso CAPTCHA de verificación. Para demostrar que eres humano, te piden que copies y pegues un comando en la terminal. Ese comando descarga e ejecuta código malicioso. Malwarebytes también ha documentado campañas activas desde al menos finales de 2025 que utilizan páginas de verificación falsas de Google y Cloudflare con el mismo objetivo.

Los investigadores de Malwarebytes identificaron múltiples campañas que comparten la misma infraestructura, incluyendo el uso de Cloudflare R2 para alojar los payloads y direcciones IP asociadas al ASN Dedik Services Limited. Entre los payloads detectados figuran HijackLoader, StealC, Remus, Amatera Stealer, CastleLoader, NetSupport y un stealer escrito en Rust.

macOS, en el punto de mira por primera vez

Históricamente, los ataques ClickFix se centraban en Windows, pero durante el periodo analizado se observó por primera vez la distribución de Atomic Stealer (AMOS) a sistemas macOS. Este malware está diseñado para robar credenciales del navegador, cookies de sesión, billeteras de criptomonedas y datos del llavero de macOS.

El ataque a macOS utilizó un flujo iniciado desde el navegador para lanzar Script Editor, donde se incita al usuario a pegar comandos. Los atacantes eligieron Script Editor después de que Apple actualizara Terminal para escanear los comandos pegados y advertir al usuario si son potencialmente maliciosos.

«Para las empresas, macOS ya no debe tratarse como de bajo riesgo; ahora necesita la misma cobertura de monitoreo y respuesta que Windows», advierte el informe de ReliaQuest.

Una nueva amenaza: ResiLoader

La investigación de Malwarebytes desveló una cadena de infección especialmente sofisticada. En ella, una versión troyanizada de la aplicación de mensajería legítima Franz descarga un loader hasta ahora desconocido al que han bautizado como ResiLoader. Este loader está escrito en .NET NativeAOT y emplea una técnica BYOD (trae tu propio driver) para desactivar el software de seguridad.

Concretamente, ResiLoader elimina más de 140 procesos relacionados con EDR y antivirus utilizando el driver OPSWAT AppRemover, realiza un bypass de UAC mediante la interfaz COM elevada ICMLuaUtil y ejecuta un hollowing de procesos sobre ServiceModelReg.exe para inyectar el infostealer StealC.

Entre los señuelos más recientes detectados por Malwarebytes hay una página que imita a Google Meet y pide al usuario pegar un comando para «solucionar un problema de audio», así como un sitio falso llamado «My QR Generator» que muestra un código QR ofuscado y solicita ejecutar un comando PowerShell para verificar que no eres un robot.

Cómo defenderte

Los expertos coinciden en que la formación de los usuarios es esencial. ReliaQuest recomienda enseñar a los empleados a no pegar comandos en Run, Terminal o Script Editor, y simular este tipo de engaños durante ejercicios de concienciación tanto en Windows como en macOS.

A nivel técnico, los administradores pueden restringir el uso del cuadro de diálogo Ejecutar y del portapapeles, bloquear la ejecución de ejecutables potencialmente maliciosos e impedir el acceso a anuncios y sitios web sospechosos. Malwarebytes, por su parte, recuerda que servicios legítimos como Google, Cloudflare o Microsoft nunca te pedirán que pegues un comando PowerShell para demostrar que eres humano. Si una página web te indica que abras PowerShell o Terminal, lo mejor es detenerse y verificar la instrucción a través de los canales oficiales de la compañía.