TerminalFix: Una nueva variante de ClickFix que utiliza CAPTCHAs falsos de Cloudflare para instalar una puerta trasera

Microsoft ha revelado los detalles de una nueva variante del malware ClickFix, denominada TerminalFix, que busca engañar a los usuarios para que ejecuten un comando malicioso en Windows Terminal o PowerShell. A diferencia de las campañas tradicionales de ClickFix, que dirigían a los usuarios al cuadro de diálogo Run de Windows, esta nueva versión apunta directamente a entornos de terminal más modernos, aumentando así la probabilidad de que se ejecuten comandos complejos sin que el usuario sea consciente de ello.

La amenaza se basa en el uso de CAPTCHAs falsos de Cloudflare para suplantar la autenticación de usuarios en ciertos servicios. Estos CAPTCHAs son falsos, lo que significa que los atacantes pueden hacer que los usuarios crean que están completando una verificación de seguridad válida, mientras que en realidad están facilitando el acceso a un sistema malicioso. Este enfoque refleja la evolución de los ataques de phishing y social engineering, donde los ciberdelincuentes buscan aprovechar la confianza del usuario en herramientas reconocidas como Cloudflare.

Características técnicas de TerminalFix

TerminalFix es una variante del ClickFix, que se ha utilizado durante varios años para propagar malware en entornos Windows. Esta versión específica se centra en la ejecución de comandos en Windows Terminal, un entorno de línea de comandos más avanzado y usado en sistemas modernos. La técnica utilizada es similar a la de sus predecesoras, pero con una adaptación para entornos más complejos.

El mecanismo de engaño

El ataque comienza con un mensaje de supuesta notificación o actualización, que incluye un botón que parece requerir la verificación de un CAPTCHA. Al hacer clic en el botón, se abre una ventana que simula el proceso de validación de Cloudflare. Sin embargo, en lugar de un CAPTCHA real, se muestra un formulario falso que solicita información personal o datos del sistema. Una vez completado, el usuario se ve obligado a ejecutar un comando que instala una puerta trasera en el sistema.

El comando malicioso se ejecuta a través de PowerShell o Windows Terminal, lo que permite al atacante acceder al sistema remoto mediante una conexión de tipo reverse-tunnel. Esta técnica permite al atacante establecer una conexión desde el sistema comprometido hacia el servidor controlador, lo que facilita la explotación del sistema sin la necesidad de mantener una conexión activa en la dirección del atacante.

Impacto y amenazas asociadas

El uso de CAPTCHAs falsos de Cloudflare para engañar a los usuarios representa un avance en el campo de los ataques de phishing. Al aprovechar la confianza en herramientas de seguridad reconocidas, los atacantes pueden aumentar la tasa de éxito de sus campañas. Esta técnica también pone de manifiesto el creciente interés de los ciberdelincuentes en el uso de entornos de terminal modernos, como Windows Terminal y PowerShell, que suelen ser más seguros y menos vulnerables a ataques tradicionales.

Los usuarios afectados pueden ver una disminución en la seguridad de sus sistemas, ya que una vez que se instala la puerta trasera, el atacante puede acceder a información sensible, modificar configuraciones críticas o incluso controlar el sistema en tiempo real. Por esta razón, es fundamental que los usuarios estén alerta ante cualquier notificación que solicite información personal o que parezca exigir una verificación de seguridad.

Recomendaciones de seguridad

Para mitigar los riesgos asociados a TerminalFix, se recomienda que los usuarios tomen las siguientes medidas:

• Evitar la ejecución de comandos desconocidos: Si se recibe un mensaje que exige la ejecución de un comando, es importante verificar su origen y asegurarse de que sea legítimo.
• Usar herramientas de seguridad actualizadas: Mantener los sistemas operativos y aplicaciones actualizados es clave para prevenir vulnerabilidades que los atacantes pueden explotar.
• Desactivar funciones de terceros en sistemas críticos: En sistemas de alta seguridad, se recomienda desactivar las funciones de terceros, como los CAPTCHAs de Cloudflare, si no son necesarios.
• Implementar monitoreo de actividad en sistemas remotos: Es fundamental supervisar la actividad de los sistemas para detectar cualquier comportamiento sospechoso, como la ejecución de comandos no autorizados.

Además, es importante que las organizaciones implementen políticas de seguridad claras y que formen a los usuarios para reconocer los signos de una posible amenaza. En este sentido, la detección temprana y la educación son herramientas clave para reducir el impacto de ataques como TerminalFix.

Para obtener más información sobre este incidente y las medidas que se han tomado, se puede consultar la fuente original: https://thehackernews.com/2026/08/terminalfix-uses-fake-cloudflare.html