El dominio `third-party.com`, usado comúnmente como ejemplo en documentación técnica, está siendo utilizado para lanzar ataques de tipo "ClickFix" contra usuarios de Windows. El sitio suplanta una verificación de seguridad de Cloudflare para engañar a las víctimas y lograr que ejecuten comandos maliciosos de PowerShell. Este riesgo es crítico ya que muchos desarrolladores han copiado este dominio literalmente en sus códigos y proyectos.





El dominio "third-party.com", comúnmente utilizado como marcador de posición en la documentación para desarrolladores y ejemplos de código, está sirviendo una página de verificación de Cloudflare falsa que intenta engañar a los usuarios de Windows para que ejecuten comandos de PowerShell.

El dominio third-party.com se ha utilizado durante mucho tiempo en la documentación para representar un sitio web, API o servicio externo arbitrario, de forma similar a como los desarrolladores utilizan dominios como example.com.

Sin embargo, a diferencia de example.com, example.net y example.org, que la IANA reserva específicamente para la documentación, third-party.com es un dominio registrado normalmente cuyo contenido puede ser controlado por su propietario.

Esta diferencia es ahora una preocupación de seguridad después de que el dominio comenzara a servir un ataque ClickFix que suplanta un control de seguridad de Cloudflare.

Manifold Security informó primero del uso malicioso del dominio tras descubrirlo mientras examinaba habilidades públicas de IA y documentación de servidores MCP que hacían referencia al dominio.

Se ha confirmado que la página muestra una pantalla de CAPTCHA falsa de Cloudflare que dice "Realizando verificación de seguridad" con un aviso de "Verifique que es humano".

Después de que el usuario haga clic en el cuadro de verificación, el sitio copia un comando malicioso de PowerShell en el Portapapeles de Windows y luego instruye al usuario que presione la tecla Windows + R, pegue el contenido de su portapapeles usando Ctrl+V y presione Enter.

Ataque clickfix en third-party.com

Cuando se ejecuta el comando de PowerShell, reconstruye la URL de la carga útil elxxvvx[.]xyz/f, descarga un script de PowerShell desde esa dirección y luego lo ejecuta.

Esta técnica se conoce comúnmente como ClickFix, donde los atacantes utilizan errores falsos, avisos de CAPTCHA o páginas de verificación para convencer a las víctimas de que ejecuten manualmente comandos copiados en su portapapeles.

Los ataques ClickFix se han convertido en una forma popular de distribuir malware, ya que el software malicioso se instala a través de comandos ejecutados por el usuario en lugar de descargarse desde sitios web o como adjuntos de correo electrónico. En algunos casos, esto podría permitir que el malware se instale evitando el software antivirus tradicional.

En el momento de las pruebas, elxxvvx[.]xyz ya no resolvía, dejando la cadena de ataque actual rota.

Sin embargo, un informe de Hybrid Analysis del 2 de mayo de 2026, muestra que el sitio distribuía un script de PowerShell configurado para descargar un archivo zip de 134 MB desde:

https://elxxvvx[.]xyz/update2.zip

El script de PowerShell guardaba el archivo como update26.zip, lo extraía y luego intentaba ejecutar un archivo ejecutable llamado draw.io.exe.

Debido a que el archivo update2.zip ya no está disponible, no se pudo determinar qué hace la carga útil.

Ax Sharma, de Manifold, afirma que el ataque se dirige específicamente a los usuarios de Windows, y los visitantes de Linux y Mac verán errores indicando que su sistema operativo no es compatible.

"Un agente de usuario de macOS o Linux no recibe nada de eso. Obtiene una página casi idéntica que se detiene en un error: 'macOS no es compatible. Este sitio web requiere una PC con Windows para acceder'. Sin envenenamiento del portapapeles, sin carga útil", explica Sharma.

"El atacante solo muestra el arma a los objetivos contra los que funciona, que es precisamente la razón por la cual una mirada casual, o un escáner en una IP de centro de datos de Linux, no ve nada malo".

un marcador de posición que no estaba reservado

El aspecto más interesante del ataque es la elección del dominio third-party.com para alojar la página de ClickFix.

La documentación pública para desarrolladores ha tratado a third-party.com como un nombre de host de ejemplo genérico durante muchos años.

Por ejemplo, la especificación de Geolocalización de la W3C demuestra actualmente la concesión de permisos de geolocalización a un iframe externo utilizando third-party.com como dominio marcador de posición:

Third-party.com utilizado en la documentación de muestra de la W3C

La especificación de Compute Pressure de la W3C utiliza similarmente el dominio al demostrar cómo un sitio web puede habilitar la API para contenido remoto:

<iframe src="https://third-party.com" allow="compute-pressure"/>

La documentación de Chromium para su API de Extensión de Telemetría también utiliza third-party.com como un sitio web de ejemplo permitido para comunicarse con una extensión de Chrome:

Otros ejemplos van más allá y utilizan el dominio en código que realmente realizaría solicitudes de red si se copiara literalmente.

Una propuesta de PrivacyCG en GitHub también utiliza el dominio como el destino de una solicitud fetch() de JavaScript desde un service worker.

Publicaciones en línea indican que los desarrolladores han copiado estos y ejemplos similares en su propio código y proyectos.

En una pregunta de Stack Overflow de 2015, un desarrollador dijo que había aplicado un ejemplo de carga asíncrona que contenía https://third-party.com/resource.js en su sitio web antes de descubrir que no se comportaba como se esperaba después de publicar el sitio.

Estos ejemplos no significan que los proyectos o la documentación asociados estén comprometidos.

Sin embargo, las aplicaciones o el código de prueba que copiaron tales URLs marcadoras de posición podrían ahora causar que un navegador o una herramienta automatizada contacte con el dominio real third-party.com y potencialmente muestre el ataque ClickFix en un navegador o aplicación.

A diferencia de example.com, que la IANA mantiene para documentación y no permite registrar ni transferir, el dominio third-party.com no tiene tal protección, y fue claramente secuestrado o registrado en algún momento para llevar a cabo estos ataques de ClickFix.

"third-party[.]com ha sido un marcador de posición de documentación genérico durante años, el mismo papel que juega example.com", explica Manifold.

"Una búsqueda de código público lo encuentra en habilidades, documentos de MCP-server y en más de 1,500 archivos en más de 1,700 repositorios de nombres tan confiables como Chromium, Sanity y Vercel. Desde al menos junio de 2026 ha estado sirviendo el señuelo de ClickFix".

Si bien el uso generalizado de third-party.com como marcador de posición en la documentación hace que el dominio sea atractivo para los atacantes, no hay evidencia de que haya sido registrado con fines maliciosos.

El dominio fue registrado por primera vez en 1996, mucho antes de la campaña actual, y no se ha determinado cuándo o cómo cambió el control del sitio.

Hasta el momento, no ha habido informes de que estas referencias a third-party.com hayan resultado realmente en la ejecución de ataques ClickFix en los dispositivos de los desarrolladores o dentro de sus aplicaciones/páginas web.

Sin embargo, mientras el dominio permanezca activo, podría cambiarse fácilmente a un nuevo dominio de carga útil activo y utilizarse activamente en futuros ataques.

Fuente:
BleepingComputer