Páginas falsas de verificación de Cloudflare engañan a usuarios de Windows y Mac para ejecutar comandos maliciosos

Una campaña ClickFix detectada por primera vez el 28 de octubre de 2026 convierte uno de los rituales más familiares de la web, la casilla de Cloudflare "Verify you are human", en un vector de infección. Los visitantes de sitios comprometidos, pero por lo demás legítimos, ven una imitación convincente de la verificación y luego se les pide "completar la verificación" pegando un comando en el cuadro Ejecutar de Windows o en la Terminal de macOS. No se explota ninguna vulnerabilidad de software y el navegador no descarga nada. La víctima realiza personalmente el paso peligroso.

Qué ocurrió

La cadena empieza con un pequeño script inyectado en un sitio hackeado y servido desde el dominio js-static[.]cfd, controlado por los atacantes. Una vez que se ejecuta en el navegador, dibuja una superposición a página completa con el logotipo de Cloudflare y fuentes web a juego, y lanza una serie de llamadas al mismo dominio que comprueban la zona horaria, la ubicación y la dirección IP del visitante. Lo más probable es que ese fingerprinting ayude a los operadores a decidir quién recibe el señuelo y en qué versión, aunque esa parte no se ha confirmado.

La superposición afirma entonces que "la verificación está tardando más de lo habitual" y enumera tres pasos: mantener pulsado Win+R, pulsar Ctrl+V, pulsar Enter. La página ya ha colocado un comando en el portapapeles. En Windows, ese comando invoca la utilidad de instalación de Microsoft con un nombre ligeramente disfrazado para descargar e instalar en silencio un paquete desde api-com[.]cfd; al final se añade una larga cadena de relleno para que lo único visible en el cuadro Ejecutar sea "To verify push the ENTER key". Los visitantes de Mac reciben una receta distinta: una sola línea que descarga un script desde cf-id[.]com y lo envía directamente a bash. Cada sistema operativo recibe sus propias instrucciones, de modo que el mismo señuelo funciona en ambos.

Ninguna de las dos cargas pudo recuperarse durante el análisis. La URL de Windows respondió con un 403 Forbidden y el dominio de macOS no resolvió, por lo que el malware final de cualquiera de las plataformas sigue siendo desconocido. Sin embargo, el script inyectado aparece en varios otros sitios web, lo que apunta a una campaña en múltiples sitios y no a un único host comprometido.

Por qué importa

ClickFix sigue funcionando porque toma prestada la confianza en lugar de romper software. Casi todo el mundo ha pasado por una verificación de Cloudflare. El único elemento inusual es la petición de pegar algo, y en un sitio que el visitante ya conoce esa petición suele pasar sin cuestionarse. Como el comando lo ejecuta el usuario a través de un binario legítimo del sistema, muchos controles de endpoint no ven más que actividad rutinaria.

La técnica se está extendiendo. Otra oleada reciente usó el mismo señuelo de Cloudflare falso en más de un centenar de sitios hackeados para distribuir un infostealer a visitantes de Windows, y los usuarios de macOS ya son objetivo con tanta frecuencia que las versiones recientes de macOS avisan cuando se pega texto sospechoso en la Terminal. Esta campaña es la siguiente iteración, no una excepción.

Qué hacer

• Enseñe una sola regla. Una verificación de Cloudflare auténtica nunca pide abrir el cuadro Ejecutar, PowerShell o la Terminal. Si una página lo hace, cierre la pestaña.
• Endurezca los endpoints. Desactive el cuadro Ejecutar de Windows mediante directivas de grupo donde los usuarios no lo necesiten y genere alertas ante actividad inusual de msiexec, mshta, PowerShell o Terminal, sobre todo justo después de una sesión de navegador.
• Bloquee y busque. Añada los dominios de abajo a las listas de bloqueo de DNS y proxy, y revise los registros en busca de conexiones anteriores hacia ellos.
• Revise su propio sitio web. Busque en sus páginas scripts que usted no añadió. La campaña depende por completo de sitios hackeados, y el JavaScript inyectado suele ser el primer síntoma visible de un compromiso más profundo.

Esos sitios hackeados son la mitad silenciosa de esta historia. Los núcleos de CMS desactualizados, los plugins vulnerables y los paneles de administración expuestos son la forma en que los atacantes consiguen, en primer lugar, la capacidad de inyectar scripts, y esa es exactamente la clase de debilidad que el escaneo de vulnerabilidades de 4tify está diseñado para sacar a la luz antes de que la encuentre otro.

Indicadores de compromiso

Los indicadores están desactivados a propósito. Reactívelos únicamente dentro de herramientas controladas, como su SIEM o su plataforma de inteligencia de amenazas.