Una campaña ClickFix recién documentada ha crecido silenciosamente hasta convertirse en una extensa red de más de 250 dominios, todos creados para engañar a los usuarios de Mac y hacer que infecten sus propios equipos. Lo que hace que esta operación sea notable no es solo su escala, sino el hecho de que los atacantes utilizan la huella digital del navegador, la misma técnica de rastreo que emplean anunciantes y corredores de datos, para decidir a quién se le muestra un señuelo malicioso y a quién una página inofensiva.

Cómo la campaña ClickFix oculta sus huellas

Los ataques ClickFix siguen un patrón conocido: un sitio web falso informa a los visitantes de que su navegador o sistema tiene un error y luego les indica que copien y peguen un comando en su Terminal para "solucionarlo". Ese comando instala realmente malware, en este caso una variante vinculada a AMOS, un conocido infostealer para macOS diseñado para recolectar contraseñas guardadas, datos del navegador e información de carteras de criptomonedas.

Lo que distingue a esta campaña es el uso de huellas digitales del lado del servidor. En lugar de mostrar el señuelo malicioso a todos los visitantes, la infraestructura de los atacantes inspecciona detalles sobre el navegador entrante —cosas como la resolución de pantalla, las fuentes instaladas, las cadenas de agente de usuario y otras señales sutiles de configuración— antes de decidir qué mostrar. Los escáneres de seguridad, los rastreadores automatizados y los investigadores que examinan los dominios suelen recibir una página limpia y sin nada destacable. Los verdaderos usuarios de Mac que navegan con normalidad son los que son canalizados hacia el señuelo ClickFix.

Se trata de una evolución significativa en la forma en que las campañas de malware evaden la detección. En lugar de depender únicamente de código ofuscado o dominios de vida efímera, los operadores emplean técnicas de identificación pasiva para filtrar a su audiencia antes de que comience el ataque. Con más de 250 dominios presuntamente implicados, la campaña tiene la redundancia suficiente para que la eliminación de sitios individuales no afecte significativamente a su funcionamiento global.

Huellas digitales: una herramienta tanto para anunciantes como para atacantes

La toma de huellas digitales del navegador no es nueva, ni es intrínsecamente maliciosa. Los sitios web y las redes publicitarias llevan años utilizando técnicas similares para rastrear a los usuarios entre sesiones sin depender de cookies. Lo que demuestra esta campaña es cómo los mismos métodos pasivos de perfilado que se usan para el rastreo comercial pueden reutilizarse para distribuir malware de forma selectiva mientras se evade la detección.

Esa coincidencia merece una pausa. Cada vez que un navegador expone detalles técnicos granulares a un sitio web, se crea una oportunidad para que esos datos se utilicen de formas que el visitante nunca anticipó, ya sea por parte de un intercambio publicitario que elabora un perfil o, en este caso, por un operador de malware que decide a quién vale la pena atacar. Los lectores que deseen profundizar en cómo funcionan las huellas digitales y otros mecanismos de rastreo, y lo que las herramientas de privacidad estándar pueden y no pueden detener, pueden encontrar útil repasar qué es una VPN y cómo funciona, ya que la huella digital es uno de los métodos de rastreo que una VPN por sí sola no neutraliza por completo.

Por qué esto es importante más allá de macOS

Aunque esta campaña concreta se dirige a usuarios de Mac con infostealers del estilo de AMOS, la técnica subyacente —usar huellas digitales para ocultar selectivamente contenido malicioso de las defensas automatizadas— no es específica de ninguna plataforma. Refleja una tendencia más amplia en la que los operadores de malware toman prestadas herramientas del mundo de la tecnología publicitaria y la analítica para hacer su infraestructura más resistente. Una lógica de camuflaje similar ha aparecido en otras campañas recientes que esconden cargas maliciosas dentro de servicios de apariencia legítima, como la técnica msaRAT del grupo de ransomware Chaos, que oculta el tráfico de comando y control dentro de procesos confiables del navegador. El hilo conductor es la evasión mediante la legitimidad: los atacantes se esconden cada vez más a plena vista, en lugar de depender de infraestructuras obviamente sospechosas.

Lo que esto significa para ti

Si usas un Mac, el riesgo práctico aquí es sencillo: cualquier sitio web que te pida que abras el Terminal y pegues un comando para "solucionar" un error, verificar que eres humano o resolver un supuesto problema de seguridad debe ser tratado como una señal de alarma. Las actualizaciones de software legítimas y los pasos de solución de problemas no funcionan de esta manera. Ninguna corrección real, actualización del navegador o verificación CAPTCHA requiere que ejecutes manualmente comandos del shell.

Dado que esta campaña se basa en las huellas digitales para dirigirse selectivamente a usuarios reales, las herramientas de escaneo de seguridad estándar pueden no siempre detectarla a tiempo, lo que otorga un mayor peso a la concienciación del usuario. También es un recordatorio de que el rastreo basado en huellas digitales, del tipo que usan tanto los anunciantes como los atacantes, es prácticamente invisible para la sesión de navegación promedio, a menos que estés utilizando protecciones de privacidad diseñadas para limitar lo que tu dispositivo revela.

Medidas prácticas

  • Nunca pegues un comando en el Terminal o en Ejecutar porque un sitio web te lo indique, sin importar el aspecto oficial que tenga la página.
  • Mantén macOS y tu navegador actualizados, y sé escéptico ante ventanas emergentes que afirmen que se necesitan soluciones urgentes.
  • Utiliza ajustes del navegador o extensiones que limiten la superficie de huella digital, como restringir la enumeración de fuentes y el acceso al canvas cuando sea posible.
  • Si estás investigando cómo encajan las herramientas de cifrado y privacidad en una estrategia de defensa más amplia, comprender el cifrado de una VPN es un buen punto de partida, aunque recuerda que las defensas contra la huella digital requieren protecciones independientes a nivel de navegador.

Esta campaña de ClickFix es un caso de estudio útil sobre cómo se adaptan los atacantes: no inventando nuevo malware, sino tomando prestada la infraestructura de rastreo de la web moderna para hacer que viejos trucos sean más difíciles de detectar. Mantenerse precavido ante las instrucciones no solicitadas de "arréglalo tú mismo" sigue siendo la defensa más sencilla y eficaz.