Sitios .mx comprometidos sirven ClearFake y ClickFix, y tres equipos en México operan como servidores de C2
Situación
Entre el 3 y el 18 de octubre de 2026, los feeds públicos ThreatFox y URLhaus de abuse.ch registraron 19 indicadores alojados en dominios .mx: 17 dominios y 2 URLs. Casi todos son sitios mexicanos comprometidos que entregan malware a quien los visita. Doce son dominios .com.mx y uno es de gobierno (.gob.mx).
- ClearFake, 8 dominios (del 4 al 15 de octubre). Es una campaña que inyecta JavaScript en sitios legítimos para mostrar una falsa actualización del navegador; quien la descarga instala malware.
- ClickFix, 2 dominios (18 de octubre). Muestra un CAPTCHA falso y le pide a la persona pegar y ejecutar un comando en su propio equipo.
- Cargador sin familia identificada, 7 dominios (del 3 al 8 de octubre), entre ellos el dominio de gobierno.
- Malware sin familia identificada, 2 URLs.
En la misma ventana, ThreatFox registró cuatro servicios de comando y control (C2) en tres direcciones IP ubicadas en México. Dos son de Sliver, un framework de C2 de código abierto que también usan atacantes, y aparecieron el 16 de octubre: uno en la nube de Oracle en Monterrey y otro en la red de Uninet en Querétaro. Ese mismo equipo de Querétaro sirve un segundo C2 sin familia identificada, y otro equipo de la misma red operó como C2 entre el 3 y el 10 de octubre.
Por qué importa
Un sitio comprometido convierte a un negocio mexicano legítimo en el punto de entrada: el visitante confía en el sitio y no ve nada raro hasta que aparece la «actualización» o el «CAPTCHA». ClickFix es hoy una de las vías de entrega más activas; en octubre de 2026, reportes públicos en AlienVault OTX documentan campañas ClickFix que terminan instalando el ladrón de información Remus.
Un C2 alojado en México hace que el tráfico de un equipo infectado parezca local y pase los filtros que bloquean por país. Y cuando el C2 vive en la red de un proveedor de internet doméstico o empresarial, lo más probable es que el equipo también sea una víctima.
Cómo lo verificamos
Cruzamos cada indicador con AlienVault OTX: 13 de los 19 indicadores .mx también aparecen ahí. Ubicamos cada IP con tres fuentes, DB-IP Lite, ipinfo y OTX, y solo reportamos como mexicanos los C2 en los que coinciden al menos dos. Esa regla cambió la historia: DB-IP Lite ubicaba en la Ciudad de México 18 servidores de C2 de DanaBot que ipinfo y OTX colocan en hostings de Estados Unidos, Hong Kong y Singapur. Los descartamos.
Indicadores
Servidores de C2 en México. Las direcciones van desactivadas con corchetes para evitar clics accidentales.
| Tipo | Indicador | Arma | Ubicación | Visto |
|---|---|---|---|---|
| ip:puerto | 129.121.62[.]230:31337 | Sliver | Monterrey, N. L. · Oracle Cloud | 16-oct-2026 |
| ip:puerto | 189.249.195[.]244:31337 | Sliver | Querétaro, Qro. · Uninet | 16-oct-2026 |
| ip:puerto | 189.249.195[.]244:7443 | Sin familia identificada | Querétaro, Qro. · Uninet | 9 al 10-oct-2026 |
| ip:puerto | 189.141.46[.]66:7443 | Sin familia identificada | Querétaro, Qro. · Uninet | 3 al 10-oct-2026 |
Dominios .mx: los publicamos solo en agregado porque son sitios de víctimas. Si administras un sitio .mx y quieres saber si está en la lista, escríbenos y te lo confirmamos en privado.
| Arma | Dominios o URLs | Primera vez visto | En OTX |
|---|---|---|---|
| ClearFake (campaña) | 8 dominios | 4 al 15-oct-2026 | 3 de 8 |
| Cargador sin familia | 7 dominios, uno .gob.mx | 3 al 8-oct-2026 | 6 de 7 |
| ClickFix (campaña) | 2 dominios | 18-oct-2026 | 2 de 2 |
| Malware sin familia | 2 URLs | 3 y 18-oct-2026 | 2 de 2 |
Acción recomendada
- Equipos de seguridad: bloquea y busca hacia atrás en tus bitácoras de firewall y proxy las tres IP de la tabla. Vigila conexiones salientes a puertos poco comunes como 7443 y 31337.
- Contra ClickFix (T1204.004): alerta cuando el cuadro Ejecutar de Windows lance PowerShell, mshta o cmd con comandos codificados. Restringe el atajo Win+R a quien no lo necesita y explica a tu gente que ningún sitio legítimo pide pegar comandos para «verificar que eres humano».
- Contra ClearFake (T1189): las actualizaciones del navegador solo llegan desde el propio navegador o su sitio oficial. Bloquea descargas de ejecutables y scripts desde sitios que no son del fabricante.
- Si administras un sitio web en México:
- Revisa archivos del tema, plugins y base de datos en busca de JavaScript que no pusiste.
- Actualiza el gestor de contenidos y sus complementos.
- Activa MFA en el panel de administración.
- Revisa los scripts que tu sitio carga desde dominios que no reconoces.