Una campaña de ciberataques denominada "ClickFix", que engaña a los usuarios para que ejecuten comandos maliciosos en sus propios equipos, ha evolucionado. Recientemente se ha descubierto que los atacantes están combinando esta técnica con una herramienta de Python de código abierto (un proxy SOCKS5) con diez años de antigüedad para crear una versión mucho más resistente.

Una campaña de ciberataques que engaña a los usuarios para que ejecuten comandos maliciosos en sus propias computadoras ha tomado un giro peligroso. La técnica, conocida como "ClickFix", ha estado circulando durante algún tiempo, pero un incidente reciente reveló que los atacantes ahora la están combinando con una herramienta de Python de código abierto de hace 10 años para crear una forma de acceso mucho más resistente.

Lo que antes se trataba como un simple error del usuario ahora está evolucionando hacia una intrusión compleja de múltiples capas que puede sobrevivir incluso después de que las herramientas de seguridad intervengan para bloquearla.

El ataque comienza cuando un usuario visita un sitio web comprometido que presenta un aviso falso, convenciendo al visitante de pegar y ejecutar un comando de PowerShell en su propia máquina. Este conocido truco de ingeniería social se ha utilizado en muchas campañas anteriores.

Lo que hace que esta versión sea diferente es lo que sucede después de que se ejecuta ese único comando. En lugar de detenerse en una sola llamada, la intrusión establece un acceso automatizado que continúa mucho tiempo después del clic inicial.

Investigadores de seguridad de ReliaQuest identificaron esta campaña actualizada en abril de 2026, señalando que marcó el primer caso observado donde la ejecución de ClickFix se combinó con PySoxy, una herramienta de proxy SOCKS5 basada en Python publicada originalmente hace aproximadamente una década.

Los analistas describieron el resultado como una "cadena de acceso duradera", una que continuaba ejecutándose incluso después de que las conexiones salientes fueran bloqueadas por los controles de seguridad. Solo ese detalle indica un cambio significativo en el comportamiento de esta amenaza.

ClickFix despliega PySoxy

La lección central aquí es algo que los defensores suelen pasar por alto: bloquear la conexión de un atacante no significa que el ataque haya terminado. En el incidente estudiado, ambos canales de acceso del atacante fueron cortados por los controles de endpoint; sin embargo, una tarea programada ya presente en la máquina afectada siguió intentando relanzar el script malicioso durante horas.

Este mecanismo de persistencia transformó un solo error del usuario en un compromiso continuo. Los afiliados de ransomware podrían eventualmente comenzar a tratar a ClickFix como un punto de entrada primario junto con otros métodos de acceso establecidos.

Las similitudes operativas entre esta cadena y las intrusiones de SocGholish, que también dependen de la ingeniería social antes de pasar al reconocimiento y al acceso basado en proxies, sugieren que ClickFix está madurando para convertirse en una plataforma seria de entrega de pre-ransomware.

Una vez que se ejecutó el comando inicial de PowerShell, el atacante se movió rápidamente para construir un soporte más profundo. Se plantó una tarea programada que relanzaba un script preparado desde la carpeta C:\ProgramData aproximadamente cada 40 minutos. Ese script funcionaba como una herramienta de acceso remoto ligera, consultando el servidor del atacante cada tres segundos, ejecutando comandos en el host y enviando los resultados de vuelta.

Después de establecer este acceso basado en PowerShell, el atacante pasó al reconocimiento. Se utilizaron herramientas integradas de Windows para enumerar las membresías de grupo, identificar controladores de dominio y mapear otras máquinas en la red. Solo después de confirmar que se podía alcanzar un servidor de preparación, el atacante introdujo PySoxy, descargando el código de bytes de Python compilado y ejecutándolo con argumentos de proxy que apuntaban a una dirección IP externa separada.

PySoxy le dio al atacante una segunda ruta independiente de regreso al host. Este segundo canal utilizaba una infraestructura y un patrón de tráfico diferentes al primero, lo que significa que un cierre completo de la conexión C2 de PowerShell aún dejaría abierta esta segunda puerta. El atacante había construido dos rutas de acceso separadas en el mismo entorno.

Por qué bloquear una llamada no es suficiente

La conclusión más importante de esta campaña es que la contención requiere más que bloquear una sola conexión. Los analistas recomiendan aislar completamente el host afectado y revisar todas las tareas programadas, particularmente aquellas creadas poco después de una actividad sospechosa de PowerShell. Cualquier tarea que apunte a scripts en directorios no estándar como ProgramData debe tratarse como un hallazgo de alta prioridad.

Quienes respondan al incidente deben buscar ejecuciones de Python vinculadas a argumentos de línea de comandos de estilo proxy, específicamente banderas como -ssl, -remote_ip y -remote_port, así como archivos .pyc compilados en ubicaciones inesperadas. Eliminar los scripts preparados, los entornos de ejecución de Python y los archivos de código de bytes es tan crítico como bloquear la conexión de red, ya que cualquier componente remanente puede reiniciar la cadena. Tratar un incidente de ClickFix como un compromiso total potencial, en lugar de un error de usuario aislado, es ahora la única respuesta adecuada.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dirección IP	185.205.211[.]217	IP de infraestructura de ClickFix
Dirección IP	206.206.103[.]120	C2 de RAT de PowerShell
Dirección IP	206.206.103[.]106	IP de preparación y exfiltración
Dirección IP	167.99.158[.]97	IP de destino del proxy PySoxy
Dominio	strapness[.]com	Dominio de preparación de ClickFix
Dominio	abledom[.]net	Dominio C2 secundario
Dominio	overlateise[.]com	Alojó el script de ClickFix (/api/jquery[.]js) inyectado en el sitio comprometido

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionalmente (por ejemplo, [.]) para evitar la resolución o el hipervínculo accidental. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/clickfix-evolves-with-python-socks5-proxy/