Microsoft alerta sobre los ataques ClickFix que engañan a usuarios de Windows para ejecutar malware mediante comandos peligrosos en la terminal.

ClickFix es una de las técnicas de ingeniería social más recientes, documentada por primera vez en 2024, y que puede infectar los ordenadores con troyanos de acceso remoto o infostealers conocidos, como Lumma.

Como se pudo ver en uno de los ataques pasados con esta técnica, la intención de los atacantes consiste en el uso de ventanas emergentes para simular problemas técnicos e invitar a la víctima a realizar movimientos, añadiendo instrucciones maliciosas.

En aquel entonces, la técnica se basó en ventanas emergentes en navegadores que introducían un captcha o supuestos problemas con el micrófono en Google Meet, aunque Microsoft ha confirmado que ClickFix ha llegado a Terminal de Windows.

El equipo de inteligencia de Microsoft ha compartido en su cuenta de X que los expertos de Microsoft Defender identificaron a ClickFix en febrero de 2026, usando la Terminal de Windows como mecanismo principal de ejecución.

Tal y como se puede apreciar en la captura de pantalla compartida por el equipo de inteligencia de Microsoft, en lugar de usar la técnica tradicional para acceder a Windows Run, mediante la teclado Windows + R, aquí se pide a los usuarios que usen Windows + X.

Esto lleva inmediatamente a los usuarios a un entorno de ejecución de comandos privilegiados integrado en flujos de trabajo administrativo legítimos, con una apariencia más confiable.

En definitiva, los ciberatacantes han vuelto a usar la técnica del captcha para mostrar comandos e instrucciones que acaben suplantando a procesos de verificación rutinarios.

Si alguien comienza a pegar comandos, podría acabar en manos de los ciberdelincuentes, instalando malware o estos troyanos de acceso remoto, como ya se pudo ver en campañas que no estaban específicamente dirigidas a la Terminal de Windows.

A diferencia de un virus tradicional, ClickFix no depende de una vulnerabilidad del sistema operativo, sino de una acción directa iniciada por el usuario, al ser este quien abre la terminal y pega el código.

Hay que destacar que, adicionalmente, muchos sistemas son incapaces de detectar esta acción, ya que se considera como una tarea de administración legítima a instancias del usuario.

Lo mejor para evitar caer en esta táctica peligrosa es no confiar nunca en comandos para la terminal de Windows de sitios que no sean de confianza, ya que podrías acabar regalando todos tus datos.

Y, si necesitas realizar una comprobación por sospechas en cualquier web, nunca pinches en nada; solo dirígete a VirusTotal, introduce el enlace y revisa si es maliciosa.