El equipo de investigación de IAOnda ha analizado 3.000 payloads generados por ClickFix, la técnica que engaña a los usuarios para ejecutar malware manualmente. Lo que antes parecía una simple campaña de ingeniería social ha evolucionado: los atacantes ahora utilizan infraestructuras de API para distribuir el mismo código malicioso, pero con firmas diferentes en cada entrega, dificultando su detección por parte de los sistemas de seguridad.

Según el informe, los servidores que gestionan las peticiones de las falsas páginas de “comprobación humana” asignan a cada visitante un paquete de comandos único, empaquetado en archivos o scripts que varían en nombre, estructura y hash. Esta estrategia de “camuflaje dinámico” permite que el malware se disfraces constantemente, evitando los motores de firma y los análisis heurísticos que se basan en patrones estáticos.

Además, la investigación identificó una nueva variante de entrega diseñada específicamente para sortear el escaneo de scripts que Windows incorpora en su proceso de protección. Al empaquetar el payload dentro de archivos de tipo ZIP o utilizando técnicas de ofuscación en JavaScript, los atacantes logran que el sistema operativo no identifique el contenido como código sospechoso, permitiendo que la ejecución se realice sin disparar alertas.

Para los profesionales de la tecnología, estas revelaciones subrayan la necesidad de reforzar la monitorización de llamadas a APIs externas y de implementar controles de confianza cero en los entornos de desarrollo. La capacidad de observar el tráfico de datos que se intercambia entre el navegador del usuario y los servidores de ClickFix puede revelar patrones anómalos, como peticiones repetitivas a dominios recién registrados o respuestas con payloads de tamaño variable. Herramientas de análisis de comportamiento y sistemas de detección basada en anomalías se convierten así en esenciales para identificar intentos de infiltración antes de que el usuario ejecute el código malicioso.

En conclusión, la evolución de ClickFix hacia una entrega impulsada por API representa un salto cualitativo en la sofisticación de los ataques de malware de tipo “clickjacking”. La combinación de técnicas de camuflaje constante y evasión de los mecanismos de escaneo de scripts obliga a los equipos de seguridad a adoptar enfoques más proactivos, basados en la observabilidad del ciclo de vida del payload y en la aplicación de políticas de acceso restringidas. Solo mediante una vigilancia continua y la integración de soluciones de análisis de tráfico en tiempo real será posible mitigar el riesgo que representa esta nueva fase del ataque.