Se ha descubierto una nueva campaña cibernética sofisticada que utiliza una técnica engañosa conocida como "ClickFix" para distribuir un troyano de acceso remoto personalizado denominado MIMICRAT. Esta operación compromete sitios web legítimos para usarlos como vectores de entrega, eludiendo los controles de seguridad tradicionales al depender de la ingeniería social en lugar de explotar vulnerabilidades de software. 

Se ha descubierto una nueva campaña cibernética sofisticada que utiliza una técnica engañosa conocida como “ClickFix” para distribuir un troyano de acceso remoto personalizado llamado MIMICRAT.

Esta operación compromete sitios web legítimos para usarlos como vectores de distribución, eludiendo los controles de seguridad tradicionales al depender de la ingeniería social en lugar de exploits de software. El malware en sí es un implante nativo en C++ versátil, diseñado para el sigilo y la persistencia a largo plazo, lo que representa un grave riesgo para las empresas a nivel global.

La secuencia de ataque comienza cuando un usuario visita un sitio confiable, como una herramienta financiera, que ha sido inyectado silenciosamente con JavaScript malicioso.

Este script muestra un pop-up fraudulento de verificación de Cloudflare, instando a la víctima a copiar y ejecutar un comando específico de PowerShell para resolver un supuesto error del navegador. Al explotar la confianza del usuario, esta táctica de “ClickFix” logra eludir las protecciones de descarga basadas en el navegador.

Analistas de Elastic identificaron esta compleja amenaza a principios de febrero de 2026, observando su uso de cinco etapas distintas de infección para evadir la detección con éxito.

Los investigadores destacaron que la campaña apunta a múltiples industrias al localizar dinámicamente señuelos en 17 idiomas diferentes, asegurando un alcance amplio en diversas geografías.

Señalaron que el diseño modular del malware permite a los atacantes adaptar sus tácticas rápidamente.

La carga útil final, MIMICRAT, está equipada con capacidades avanzadas, incluyendo el robo de tokens de Windows, manipulación del sistema de archivos y tunelización SOCKS5.

Mantiene la persistencia mientras se comunica con servidores de comando y control utilizando perfiles HTTP maleables que se mezclan perfectamente con el tráfico legítimo de análisis web. Este camuflaje sofisticado hace que la identificación por parte de los defensores de la red sea excepcionalmente difícil, ya que las señales maliciosas se ocultan entre el ruido de fondo normal.

Infección y ejecución sigilosa

El mecanismo de infección está diseñado para eludir las defensas modernas a través de una serie de pasos calculados y ofuscados.

Tras la ejecución inicial de PowerShell, se descarga un segundo script altamente ofuscado para desactivar el Seguimiento de Eventos de Windows y la Interfaz de Escaneo Antimalware (AMSI). Este paso crítico ciega a las herramientas de seguridad, permitiendo que las etapas posteriores operen en la máquina de la víctima sin generar alertas estándar.

Después de estos bypasses, se descarga un cargador basado en Lua para descifrar y ejecutar el shellcode final completamente en la memoria del sistema. Este enfoque sin archivos garantiza que MIMICRAT resida solo en la RAM, reduciendo significativamente su huella digital y complicando el análisis forense para los equipos de seguridad que intentan rastrear la intrusión. El uso de un cargador Lua personalizado oscurece aún más el flujo del ataque.

Para defenderse de esta amenaza, las organizaciones deben mejorar la capacitación de los usuarios para reconocer falsos mensajes de verificación del navegador y evitar pegar comandos desconocidos. Los equipos de seguridad deben aplicar políticas estrictas de ejecución de PowerShell y monitorear líneas de comando ofuscadas. Bloquear dominios maliciosos conocidos e inspeccionar el tráfico de red en busca de patrones de comunicación específicos de MIMICRAT también es crucial para interrumpir la cadena de ataque antes de que ocurra la exfiltración de datos.