{"id":11677,"date":"2026-08-13T12:11:32","date_gmt":"2026-08-13T18:11:32","guid":{"rendered":"https:\/\/beaconlab.us\/?post_type=publicacion&p=11677"},"modified":"2026-08-13T12:11:34","modified_gmt":"2026-08-13T18:11:34","slug":"alerta-2026-88-campana-clickfix-dirigida-a-usuarios-mexicanos","status":"publish","type":"publicacion","link":"https:\/\/beaconlab.us\/es\/publicacion\/alerta-2026-88-campana-clickfix-dirigida-a-usuarios-mexicanos\/","title":{"rendered":"Alerta 2026-88 Campa\u00f1a ClickFix dirigida a usuarios mexicanos"},"content":{"rendered":"\n

Descripci\u00f3n<\/h2>\n\n\n\n

Se ha identificado una campa\u00f1a de phishing e ingenier\u00eda social<\/strong> dirigida a usuarios en M\u00e9xico que utiliza como se\u00f1uelo un supuesto \u201ccomprobante de pago\u201d<\/strong> y documentaci\u00f3n que aparenta estar relacionada con el Servicio de Administraci\u00f3n Tributaria (SAT)<\/strong>.<\/p>\n\n\n\n

De acuerdo con el flujo observado y la informaci\u00f3n proporcionada para este bolet\u00edn, la v\u00edctima recibe un correo electr\u00f3nico proveniente de una direcci\u00f3n externa perteneciente al dominio Gmail<\/strong>, utilizando el asunto:<\/p>\n\n\n\n

\u201ccomprobante de pago\u201d<\/strong><\/p>\n\n\n\n

El mensaje contiene como archivo adjunto un documento PDF protegido<\/strong>, dise\u00f1ado para aparentar ser documentaci\u00f3n leg\u00edtima relacionada con el SAT.<\/p>\n\n\n\n

La protecci\u00f3n del PDF, la tem\u00e1tica fiscal y la apariencia institucional del documento buscan incrementar la credibilidad del mensaje y generar suficiente confianza para que la v\u00edctima contin\u00fae con las instrucciones presentadas.<\/p>\n\n\n\n

Al interactuar con el contenido o con el mecanismo incluido en el documento, la v\u00edctima es conducida a la siguiente etapa del ataque, donde comienza una cadena de ingenier\u00eda social conocida como ClickFix<\/strong>.<\/p>\n\n\n\n

A diferencia de ataques tradicionales que explotan directamente una vulnerabilidad t\u00e9cnica del sistema operativo, ClickFix utiliza al propio usuario para ejecutar las instrucciones maliciosas<\/strong>.<\/p>\n\n\n\n

ClickFix<\/strong> es una t\u00e9cnica de ingenier\u00eda social mediante la cual los atacantes manipulan a los usuarios para que ejecuten manualmente comandos maliciosos en su propio sistema.<\/p>\n\n\n\n

Campa\u00f1as ClickFix documentadas p\u00fablicamente han sido utilizadas para distribuir malware como Lumma Stealer, Latrodectus, NetSupport RAT y DarkGate<\/strong>, demostrando que esta t\u00e9cnica funciona principalmente como un mecanismo de entrega y ejecuci\u00f3n inicial; el payload final puede variar dependiendo del atacante.<\/p>\n\n\n\n

Todo inicia con un correo como este \u00abComprobante de pago\u00bb, supuestamente del SAT.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Cuando el usuario descarga y abre el archivo adjunto en PDF, obliga al usuario a dar clic en el bot\u00f3n \u00abDesbloquear\u00bb<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Cuando el usuario da clic, es enviado a la p\u00e1gina del Gobierno de Tlaquepaque y ah\u00ed se explota una vulnerabilidad autom\u00e1ticamente. Esta vulnerabilidad vuelve a enviar al usuario a otr\u00e1 p\u00e1gina comprometida por el atacante. Esta p\u00e1gina no es del gobierno, pero si es un sitio mexicano. En esa p\u00e1gina, se ejecuta otro \u201cprograma\u201d, lo que ven en la im\u00e1gen es el c\u00f3digo del programa. Este programa funciona como un polic\u00eda, antes de pasar al segundo paso, hace una revisi\u00f3n.<\/p>\n\n\n\n

Primero analiza si la v\u00edctima es un programa como un antivirus o programas que existen en internet que puedan detectar este tipo de amenazas. – Despu\u00e9s valida si la v\u00edctima usa Windows, sino usa Windows, le muestra esta pantalla. Lo que nos indica que este ataque solo funciona para usuarios de Windows. Si es MacOS por ejemplo, les muestra esta pantalla y termina el ataque.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Si la computadora de la v\u00edctima es Windows, detecta la direcci\u00f3n IP de la v\u00edctima y la env\u00eda a los atacantes, si la IP es de M\u00e9xico, env\u00eda el mensaje: \u00ab\ud83e\udde8*WINDOWS REAL* \ud83e\udde8 \u2014 Objetivo premium\u00bb. Tambi\u00e9n env\u00eda al atacante la zona horaria de la computadora. De acuerdo al mensaje y el c\u00f3digo del mensaje que env\u00eda, podemos determinar que el atacante utilizan Telegram o Whatsapp para recibir estos mensajes. en ubicaciones arbitrarias del sistema host utilizando los privilegios del usuario o proceso que ejecut\u00f3 docker cp.<\/p>\n\n\n\n

Soluci\u00f3n<\/h2>\n\n\n\n

Los usuarios y administradores deben realizar las siguientes acciones:<\/p>\n\n\n\n