Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium ofrece información actualizada sobre tres amenazas emergentes. En primer lugar, analizaremos la rápida evolución de una amenaza basada en el navegador denominada ClickFix. A continuación, analizamos cómo los picos de actividad maliciosa suelen preceder a la divulgación de vulnerabilidades. Por último, analizamos más a fondo un grupo de ciberdelincuentes de habla vietnamita responsable de una campaña mundial de PXA Stealer.
La campaña «ClickFix» se aprovecha de los CAPTCHA para distribuir malware de forma encubierta
Un informe reciente de Guardio Labs analiza la rápida evolución de una amenaza basada en el navegador conocida como ClickFix. Este ataque utiliza ventanas superpuestas de CAPTCHA falsas para engañar a los usuarios y que ejecuten comandos maliciosos de PowerShell copiados en su portapapeles, lo que elude los métodos tradicionales de distribución de malware basados en descargas.
ClickFix, que sustituye a tácticas más antiguas como ClearFake, se propaga a través de sitios web comprometidos, publicidad maliciosa y campañas de phishing de marca para distribuir malware destinado a robar credenciales.
Guardio atribuye su éxito a unas narrativas cada vez más sofisticadas y a unas técnicas de evasión avanzadas que dificultan la detección y la prevención.
Desde actualizaciones falsas hasta vulnerabilidades relacionadas con el portapapeles
La investigación de Guardio parte de ClearFake, una campaña activa a principios de 2024 que utilizaba sitios web de WordPress comprometidos para enviar notificaciones falsas de actualizaciones del navegador. Estas actualizaciones parecían legítimas, pero en realidad se utilizaban para distribuir el malware Lumma Stealer.
Partiendo de esta táctica, ClickFix surgió poco después como una variante más sofisticada, que pasó de utilizar cargas útiles basadas en archivos a emplear páginas CAPTCHA engañosas para ejecutar comandos maliciosos basados en el portapapeles.
Curiosamente, el concepto de «CAPTCHA falso» no surgió como una táctica maliciosa, sino que se introdujo inicialmente como una herramienta de simulación del «equipo rojo» diseñada para ejercicios de formación en seguridad. Sin embargo, al igual que muchas técnicas legítimas, los autores de amenazas no tardaron en adoptarla y utilizarla con fines maliciosos.
La expansión de ClickFix
ClickFix se propagó inicialmente a través de redes publicitarias y publicidad maliciosa, aprovechando una amplia difusión para llegar a usuarios desprevenidos. Sin embargo, a medida que los atacantes buscaban objetivos de mayor valor, cambiaron de táctica: incorporaron cargas útiles de CAPTCHA en sitios web legítimos comprometidos en los que los usuarios ya confiaban.
A partir de ahí, la campaña se extendió a las redes sociales y a las plataformas para desarrolladores, donde perfiles falsos inundan ahora las secciones de comentarios con recomendaciones engañosas y enlaces a descargas maliciosas.
Una ingeniería social más inteligente gracias a un diseño familiar
A medida que ClickFix ha ido madurando, sus estrategias visuales también han evolucionado. Si bien las primeras versiones imitaban el reCAPTCHA de Google, la campaña imita ahora otros retos conocidos, como los de Cloudflare, para mantener su credibilidad.
Al combinar estas ventanas superpuestas engañosas con señales de urgencia y una imagen de marca realista, los autores de las amenazas logran que la página de ingeniería social resulte aún más convincente y aumentan drásticamente la probabilidad de que el usuario interactúe con ella.
Avances técnicos y cargas útiles multiplataforma
Más allá de la ingeniería social, ClickFix se ha vuelto cada vez más sofisticado desde el punto de vista técnico. En la actualidad, los atacantes ofuscan los comandos, utilizan la carga dinámica de scripts, ocultan enlaces mediante acortadores de URL e incrustan cargas maliciosas en fuentes de archivos aparentemente legítimas.
Según June 2025, también han comenzado a aprovechar la plataforma Google Scripts para alojar páginas CAPTCHA falsas, aprovechándose de su reputación de confianza para eludir las sospechas de los usuarios. Por otra parte, las cargas útiles han evolucionado hasta convertirse en multiplataforma, y ahora son capaces de atacar sistemas Windows, macOS y Linux.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La amenaza de ClickFix sigue ganando popularidad a un ritmo vertiginoso, lo que pone de manifiesto la creciente sofisticación de la ingeniería social y la tendencia cada vez mayor a la explotación de los usuarios.
Este cambio de la ejecución de malware basado en archivos a la basada en el portapapeles también supone una evolución significativa en cuanto a la forma de propagación de las amenazas, por lo que resulta fundamental que los equipos de seguridad supervisen más de cerca tanto el comportamiento de los usuarios como la actividad del portapapeles.
Guardio nos recuerda que técnicas como esta, que imitan los flujos reales de los usuarios, son cada vez más peligrosas y tienen más probabilidades de tener éxito.
Las actividades maliciosas suelen preceder a la divulgación de los CVE
El último análisis de GreyNoise, «», pone de manifiesto una tendencia notable: el comportamiento de los atacantes suele intensificarse en las semanas previas a la divulgación pública de nuevas vulnerabilidades. El informe identifica patrones recurrentes en la actividad previa a la divulgación y destaca cómo la detección temprana puede permitir a los defensores reducir de forma proactiva la exposición a las amenazas emergentes.
¿Pueden los picos en el número de ataques indicar vulnerabilidades inminentes?
GreyNoise observó patrones claros de actividad maliciosa —como escaneos, intentos de fuerza bruta y explotación— dirigidos a tecnologías que posteriormente se descubrió que eran vulnerables.
Al centrarse en las tecnologías de vanguardia y en las vulnerabilidades (CVE) con una puntuación de 6 o superior en la escala CVSS, los investigadores pudieron cuantificar este patrón y demostrar cómo el interés de los atacantes suele preceder a los anuncios de vulnerabilidades.
Análisis del patrón: de la actividad a la divulgación
Para validar esta hipótesis, GreyNoise analizó el comportamiento de los atacantes en las etiquetas relacionadas con las tecnologías de vanguardia. Estas etiquetas son identificadores basados en firmas que utiliza GreyNoise para clasificar y realizar un seguimiento de los patrones en el tráfico de escaneo y ataques a nivel de Internet. Abarcan categorías como escáneres, rastreadores, herramientas de fuerza bruta, intentos de explotación y asociaciones conocidas con CVE —en particular aquellas dirigidas a tecnologías de vanguardia como las VPN, los cortafuegos y las herramientas de acceso remoto—.
Tras filtrar los datos relevantes, el equipo identificó 216 picos estadísticamente significativos en la actividad de los atacantes a partir del September 2024. A continuación, cada pico se asoció a un CVE recientemente publicado que afectaba a la misma tecnología o producto.
Cabe destacar que todas las CVE identificadas estaban relacionadas con tecnologías de borde de ocho proveedores empresariales: Cisco, Citrix, Fortinet, Ivanti, Juniper, MikroTik, Palo Alto y SonicWall.
El comportamiento del atacante como señal predictiva
GreyNoise constató que los picos de actividad de los atacantes solían producirse entre 3 y 6 semanas antes de la divulgación de los CVE: el 50 % se producía 3 semanas antes y el 80 % en un plazo de 6 semanas.
El informe también analizó cómo los atacantes pueden volver a aprovechar vulnerabilidades anteriores en el periodo previo a la divulgación de nuevas vulnerabilidades, lo que sugiere un enfoque deliberado y estratégico a la hora de explotarlas. En varios casos, GreyNoise observó picos de actividad en torno a CVE antiguas, como la Cisco CVE-2011-3315, poco antes de que se revelaran vulnerabilidades más recientes que afectaban al mismo producto.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La investigación de GreyNoise nos ayuda a comprender la importancia de identificar los patrones de los atacantes en general, sobre todo en la medida en que dichos patrones guardan relación con la divulgación de vulnerabilidades. Esto requiere pasar de estrategias reactivas a estrategias proactivas para ayudar a identificar las actividades maliciosas como indicio de posibles vulnerabilidades.
Esta investigación confirma asimismo que los ciclos tradicionales de parches suelen ser demasiado lentos. El hecho de que los comportamientos de los atacantes suelen preceder a la divulgación de las vulnerabilidades indica que podría ser necesario adoptar un enfoque diferente en materia de protección frente a las vulnerabilidades. La priorización de las vulnerabilidades debe basarse no solo en su gravedad y relevancia para la organización, sino también en el interés observado por parte de los atacantes.
El informe de GreyNoise también incluye algunas recomendaciones útiles para los defensores.
Un grupo de ciberdelincuentes vinculado a Telegram lanza una campaña mundial de «PXA Stealer»
Un grupo de ciberdelincuentes de habla vietnamita ha puesto en marcha una campaña generalizada de robo de información utilizando PXA Stealer, un malware basado en Python. Una investigación conjunta de SentinelOne y Beazley Security revela que la operación ha dado lugar al robo de más de 200,000 contraseñas, cientos de registros de tarjetas de crédito y más de 4 millones de cookies de navegador.
Operación de malware en varios estados vinculada a un mercado de ciberdelincuencia basado en Telegram
Observada por primera vez a finales de 2024, la campaña se ha convertido en una operación sofisticada y de varias fases. SentinelOne y Beazley Security han descubierto su vínculo con un mercado en Telegram que facilita la venta de datos sustraídos a las víctimas.
Entre las tácticas clave se incluyen la instalación paralela de archivos DLL maliciosos a través de software firmado, como Haihaisoft PDF Reader, y la incorporación de malware en archivos comprimidos camuflados como tipos de archivo habituales. La carga útil final —PXA Stealer— extrae datos confidenciales que van desde contraseñas hasta los datos de autocompletado del navegador.
Instalación alternativa a través de Haihaisoft y cambio de infraestructura
Desde finales de 2024, los investigadores han seguido de cerca el perfeccionamiento continuo por parte del actor de las técnicas de instalación paralela y los cambios en su infraestructura de mando y control (C2).
Una táctica destacada observada en April 2025 consiste en engañar a las víctimas mediante phishing para que descarguen un archivo comprimido que contiene una copia firmada del lector de PDF Haihaisoft junto con un archivo DLL malicioso. Una vez ejecutada, la DLL estableció la persistencia y recuperó cargas útiles adicionales alojadas en Dropbox.
Esta fase también supuso un cambio estratégico en las herramientas utilizadas por el actor: se pasó de los ejecutables tradicionales de Windows a cargas útiles basadas en Python, un cambio que sugiere la intención de aumentar la modularidad y reducir el riesgo de detección.
Una nueva variante introduce una cadena de infección avanzada basada en archivos
Una variante de « July 2025 » detectada por Beazley Security introdujo tácticas más sofisticadas. El cebo incluía un archivo ejecutable firmado de Microsoft Word 2013 , un archivo DLL instalado de forma alternativa y un directorio denominado «-» que contenía cargas útiles adicionales.
A las víctimas se les mostraba un documento falso en el que se hacía referencia a infracciones de derechos de autor, mientras que una ventana de comandos oculta ejecutaba el comando « certutil » para descifrar un script de Python camuflado denominado «images.png».
Los bots de Telegram y los repetidores de Cloudflare facilitan el robo de datos
La carga útil final, PXA Stealer, es utilizada habitualmente por actores maliciosos de habla vietnamita. Recopila y extrae datos a través de los BotID de Telegram, centrándose en los navegadores, los datos de autocompletado, los tokens de autenticación y la clave de cifrado vinculada a la aplicación de Chrome. Además, recopila archivos de carteras criptográficas de escritorio, clientes VPN, servicios en la nube y recursos compartidos.
Los datos sustraídos se empaquetan en archivos ZIP y se envían a través de bots de Telegram utilizando los relés de Cloudflare Worker. El informe incluye un desglose detallado de las aplicaciones afectadas y la infraestructura de abuso de Telegram.
Victimología: alcance global con un enfoque específico
El análisis de los BotID activos asociados a la campaña «PXA Stealer» reveló que había más de 4,000 víctimas distintas. Entre las regiones más afectadas se encuentran la República de Corea, Estados Unidos y los Países Bajos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los registros de PXA Stealer indican que se han atacado 62 países diferentes, lo que pone de manifiesto que la ciberdelincuencia traspasa cada vez más las fronteras. Esto complica la atribución cuando los autores de las amenazas utilizan una infraestructura global para atacar a un abanico tan amplio de víctimas.
Los datos sustraídos por el PXA Stealer se están revendiendo a través de mercados de Telegram, al igual que ocurre con muchos otros datos robados por programas de robo de información, lo que pone de manifiesto cómo la ciberdelincuencia se está convirtiendo cada vez más en un producto de consumo, en el que los registros se tratan como si fueran existencias.
Tal y como destaca el informe, este es otro ejemplo claro de cómo los autores de amenazas se aprovechan de infraestructuras legítimas para llevar a cabo actividades maliciosas. Esto nos sirve como un claro recordatorio de la importancia de la detección basada en el comportamiento.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
