- Los CAPTCHA maliciosos utilizan ingeniería social para que el usuario ejecute comandos peligrosos en su propio sistema.
- Este vector de ataque distribuye malware especializado en el robo de credenciales, cookies de sesión y activos criptográficos.
- La técnica EtherHiding oculta el código dañino en la blockchain para evadir los escaneos de seguridad tradicionales.
Seguro que te ha pasado mil veces: entras en una web y, de repente, aparece el típico recuadro que te pide demostrar que no eres un robot. Nos hemos acostumbrado tanto a resolver estos pequeños acertijos visuales o a marcar una casilla que lo hacemos en modo automático, sin pensar ni un segundo. Precisamente en esa confianza ciega es donde los ciberdelincuentes han encontrado una mina de oro para colarnos software malicioso.
Estamos hablando de una tendencia muy peligrosa conocida como estafas de CAPTCHA falso o ClickFix. A diferencia del phishing tradicional, donde te intentan engañar con un enlace, aquí la jugada es más retorcida: usan la apariencia de herramientas legítimas como reCAPTCHA de Google o Cloudflare Turnstile para que seas tú mismo quien instale el virus en tu ordenador, saltándote así todas las alarmas del navegador.
¿En qué consiste exactamente el truco del ClickFix?
La mecánica es sencillísima pero letal. El usuario llega a una página, a menudo un sitio de WordPress que ha sido hackeado, y se encuentra con un error técnico o una verificación humana. Al interactuar con el botón de verificar, la web utiliza JavaScript para copiar un código malicioso en el portapapeles del usuario sin que este se dé cuenta. Acto seguido, el sitio le da instrucciones muy claras: «Presiona Win + R, pega el código (Ctrl + V) y pulsa Enter».
Al seguir estos pasos, el usuario abre el cuadro de diálogo de Ejecutar de Windows y lanza un comando, generalmente de PowerShell o mshta.exe, que descarga el malware desde un servidor externo. Como es el propio dueño del equipo quien ejecuta la acción, el sistema operativo lo interpreta como una tarea legítima y no bloquea la descarga, dejando la puerta abierta de par en par a los atacantes.
El arsenal de malware: ¿Qué buscan los atacantes?
Una vez que el comando se ha ejecutado, el equipo queda infectado por diversas familias de malware, dependiendo de la campaña. El más habitual es el Lumma Stealer, un programa especializado en el robo de información que vacía los navegadores en busca de contraseñas guardadas, cookies de sesión y, sobre todo, monederos de criptomonedas.
Pero la cosa no se queda ahí. También se han detectado otros bichos como:
- Vidar Stealer y Amadey: Enfocados en rastrear el historial de navegación y datos de autocompletado.
- AsyncRAT, SecTopRAT y XWorm: Troyanos de acceso remoto que permiten al hacker ver tu pantalla en tiempo real, registrar cada tecla que pulsas y mover archivos a su antojo.
- Venom RAT y Remcos RAT: Herramientas que, aunque tengan usos legítimos de administración, aquí se usan para el espionaje total.
La sofisticación de EtherHiding y la campaña ClearFake
Desde mediados de 2023, una operación llamada ClearFake ha infectado a miles de webs, especialmente aquellas basadas en WordPress que no estaban actualizadas. Lo más inquietante es que han implementado una técnica llamada EtherHiding. En lugar de guardar el virus en un servidor que pueda ser dado de baja, alojan el payload en contratos inteligentes de la Binance Smart Chain.
Esto supone un dolor de cabeza para los expertos en seguridad porque la blockchain es inmutable y descentralizada. El sitio web comprometido solo contiene una pequeña referencia que apunta a la cadena de bloques, haciendo que el ataque sea prácticamente invisible para los escáneres de archivos tradicionales, ya que el código malicioso no reside físicamente en el servidor infectado.
Cómo distinguir un CAPTCHA real de una trampa
Para no caer en el engaño, hay que grabar una regla de oro en la mente: ningún CAPTCHA legítimo te pedirá jamás que abras una terminal, que uses el comando Ejecutar (Win + R) o que descargues un archivo para «completar la verificación». Los sistemas reales solo requieren que hagas clic en imágenes de semáforos o que marques una casilla.
Otras señales de alerta que deberían hacerte cerrar la pestaña inmediatamente son:
- El CAPTCHA aparece en una ventana emergente separada o en un dominio extraño con nombres aleatorios.
- Notas que, al hacer clic, se ha copiado algo en tu portapapeles que tú no has seleccionado.
- El mensaje menciona «problemas de configuración de red» y te sugiere una solución manual ejecutando un script.
Protocolo de emergencia: ¿Qué hacer si ya has ejecutado el código?
Si te has dado cuenta de que has caído en la trampa, la velocidad es fundamental para limitar el desastre. Lo primero es cortar la conexión a internet (desactivar WiFi o quitar el cable) para evitar que el malware envíe tus datos al servidor del atacante. Es vital no reiniciar el equipo en ese momento, ya que algunos virus se asientan más profundamente durante el arranque.
Después, sigue estos pasos estrictamente: ejecutar un análisis completo con un antivirus actualizado (como Malwarebytes o Windows Defender Offline), borrar la caché y cookies del navegador para invalidar las sesiones robadas y eliminar cualquier extensión sospechosa. Finalmente, desde un dispositivo que sepas que está limpio, cambia todas tus contraseñas y activa la autenticación de dos factores (2FA) en todas tus cuentas, empezando por el correo electrónico.
Protección para administradores de webs y usuarios
Si gestionas un sitio en WordPress, la mejor defensa es mantener el core, los plugins y los temas siempre al día, ya que ClearFake aprovecha vulnerabilidades viejas. Es recomendable instalar plugins de seguridad que monitoreen cambios en los archivos y usar 2FA para el acceso al panel de administración.
Para el usuario medio, la mejor herramienta es el sentido común y el uso de bloqueadores de anuncios, que evitan que se carguen scripts maliciosos a través de publicidad engañosa. Mantener el sistema operativo actualizado y no descargar software pirata reduce drásticamente las probabilidades de exponerse a estos vectores de ataque.
La clave para sobrevivir a estas amenazas es dejar de actuar en piloto automático y desconfiar de cualquier proceso de verificación que nos pida interactuar con el sistema operativo fuera del navegador. Mientras que un CAPTCHA real es una molestia de dos segundos, ejecutar un comando desconocido puede derivar en la pérdida total de la identidad digital y de activos financieros, por lo que la prevención y la higiene digital son la única defensa real frente a la ingeniería social.