Google añade defensa en Chrome contra ClickFix: detecta comandos copiados al portapapeles y advierte

Google anunció el martes que incorporará nuevas defensas en Chrome para mitigar una técnica de ingeniería social conocida como ClickFix, en la que atacantes convencen a víctimas de pegar y ejecutar comandos malignos en la consola de Windows o Terminal de macOS. Según la compañía, esas mejoras se activan cuando el usuario tiene habilitada la opción de Protección mejorada (Enhanced Protection) y apuntan a detectar y bloquear comandos sospechosos copiados al portapapeles antes de que el usuario pulse Enter y desencadene la cadena de infección.

Los hechos confirmados por Google son estos: ClickFix redirige a navegantes a páginas que fingen verificaciones legítimas (por ejemplo, reCAPTCHA de Google o Cloudflare) o muestran supuestos errores, y piden al usuario que copie y ejecute un comando en el cuadro Ejecutar de Windows o en Terminal para “arreglar” el problema. Al ejecutarse, esos comandos suelen invocar herramientas del propio sistema —PowerShell, cmd.exe u otros “living-off-the-land” (LotL)— para descargar y ejecutar cargas útiles posteriores como troyanos de acceso remoto o ladrones de información. Chrome ahora detectará comandos potencialmente peligrosos copiados por usuarios con Enhanced Protection, “limpiará” los datos personales del contenido del portapapeles y enviará el resto a Safe Browsing para su análisis; si Safe Browsing determina que es malicioso, mostrará una advertencia al usuario.

Técnicamente, la efectividad de ClickFix radica en salirse del canal protegido del navegador y llevar la descarga y ejecución al contexto del sistema operativo. Las defensas clásicas del navegador (listas negras de descargas, comprobaciones de integridad en descargas HTTP/HTTPS) no se aplican si el navegador solo ha servido como vector para instruir al usuario a ejecutar manualmente algo fuera del proceso de descarga del navegador. Los atacantes explotan la confianza y la urgencia: piden copiar comandos que usan PowerShell o curl/wget para descargar un payload desde una URL controlada por el atacante, a menudo encadenado con instrucciones para ejecutar el binario descargado.

Las contramedidas de Google son varias y distintas entre sí. La función descrita más específicamente es la detección de comandos copiados al portapapeles y el envío —tras eliminar datos personales— a Safe Browsing para un análisis que puede resultar en una advertencia. Google añade además una taxonomía de advertencias (sitios “Sospechosos” vs. “Peligrosos”) y el uso de modelos LLM en el dispositivo para identificar páginas con alta probabilidad de estafa técnica. La compañía indica que cuando envía texto fuera del dispositivo lo hace de forma efímera y sin retenerlo para entrenamiento, y que la protección de verificación de anunciantes financieros se expandirá en EE. UU. y Canadá para reducir la suplantación en anuncios.

Lo confirmado: Google implementa estas funciones dentro de Chrome y las limita a usuarios con Enhanced Protection; Apple por su parte ha comunicado en paralelo medidas en Safari/WebKit para bloquear lo que llama “identity resolution”, un método distinto de seguimiento que asocia correos electrónicos con identificadores persistentes. Lo que queda en el terreno de la estimación o incertidumbre: la eficacia real en el campo frente a campañas adaptadas, la tasa de falsos positivos/negativos de la detección automática, y hasta qué punto los atacantes cambiarán de táctica (por ejemplo, convertir comandos en imágenes o pedir tipeo manual completo) para esquivar la inspección del portapapeles.

Implicaciones prácticas: cualquier usuario que reciba instrucciones por una web, anuncio o llamada para ejecutar un comando en su sistema está en riesgo; los atacantes pueden alcanzar tanto a consumidores como a empresas. Para organizaciones, ClickFix es atractivo porque puede burlar controles de navegación tradicionales y apuntar a estaciones de trabajo con privilegios suficientes para descargar y ejecutar código. La verificación de anunciantes financieros busca reducir un canal (anuncios maliciosos) usado para llegar a víctimas, pero no eliminará por sí sola las campañas que se propagan por medios orgánicos o sitios comprometidos.

Recomendaciones concretas y verificables para lectores y administradores: primero, habilite la Protección mejorada en Chrome si ya usa ese navegador —la opción se encuentra en Configuración > Privacidad y seguridad > Servicios de Google y seguridad—; Google documenta Safe Browsing y las políticas relacionadas en su portal para desarrolladores (ver developers.google.com/safe-browsing) y en las páginas de ayuda de Chrome (por ejemplo, soporte de Chrome sobre protección mejorada). Segundo, nunca pegue ni ejecute comandos en la terminal que provengan de ventanas emergentes, anuncios, chats no verificados o páginas que no pertenezcan a canales oficiales: confirme siempre el origen por canales independientes (teléfono oficial, sitio corporativo verificado). Tercero, implemente controles técnicos en entornos gestionados: políticas de ejecución, AppLocker o Microsoft Defender Application Control, restricciones de PowerShell (Constrained Language Mode) y bloqueo de herramientas LotL, así como reglas de EDR que alerten sobre procesos hijos inusuales iniciados desde navegadores o herramientas de automatización.

Para usuarios preocupados por la privacidad de la nueva detección: Google afirma que elimina información personal del portapapeles y realiza análisis efímeros; aun así, si prefiere no enviar nada fuera del dispositivo, la única garantía es no activar la categoría de Protección mejorada o revisar la configuración de privacidad de Chrome. Hay que tener en cuenta que desactivar estas protecciones deja al usuario más expuesto a ClickFix y otras estafas basadas en contenido malicioso.

Finalmente, no olvide que estas mitigaciones no son definitivas: los atacantes evolucionan. Es plausible que tras estas medidas veamos un incremento de tácticas alternas (imágenes con texto, instrucciones de tipeo manual, ataques vía mensajería directa) para evitar la inspección automatizada del contenido copiado. La seguridad efectiva combina herramientas del navegador, controles de plataforma y, sobre todo, formación continua de los usuarios para que no “abran la puerta” cuando alguien se lo pida.

Enlaces útiles para ampliar y configurar protecciones: documentación de Safe Browsing de Google (developers.google.com/safe-browsing) y el blog de WebKit/Apple sobre privacidad web (webkit.org/blog), donde se detallan iniciativas para bloquear técnicas de seguimiento como la resolución de identidad.