IClickFix
Qué es
IClickFix es un marco de JavaScript malicioso desplegado en sitios WordPress comprometidos. Los atacantes lo utilizan para entregar más malware mediante la táctica de ingeniería social ClickFix y un falso desafío de CAPTCHA de Cloudflare Turnstile.
Cómo llega
Llega por sitios WordPress comprometidos en los que se inyecta su código: al visitante le muestra un falso CAPTCHA que le pide pegar y ejecutar un comando en su propio equipo.
Qué hace una vez dentro
Muestra un falso desafío de CAPTCHA para engañar a los usuarios. Una vez que el usuario interactúa, el marco entrega malware adicional o ejecuta comandos maliciosos en el sistema.
A quién ataca
A quienes visitan sitios WordPress comprometidos. En México, los feeds públicos registraron 2 sitios .mx que la servían el 18 de octubre de 2026.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Ejecución | PowerShell | T1059.001 |
| Ejecución | JavaScript | T1059.007 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Masquerading | T1036 |
| Sigilo | Process Injection | T1055 |
Fuente: AlienVault OTX: técnicas que aparecen en al menos 2 de 6 reportes públicos recientes.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 1 |
| Dominios | 1,765 |
| URLs | 45 |
| Hashes de archivos | 1 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 21-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
- Malpedia: js.iclickfix
- AlienVault OTX: Slaiclind: analyzing a campaign combining ClickFix and EtherHiding. (2026-10-20)
- AlienVault OTX: From Win+X to EdgeUpdate - Unpacking a jsDelivr Hosted ClickFix Loader. (2026-10-20)
- AlienVault OTX: ROMULUS Emerges as a New Platform for ClickFix Based Malware Delivery (2026-10-20)
← Todo el catálogo de armamento