Ver el código de «Campañas ClickFix y ConsentFix: Anuncio Verificado en X Distribuye Malware para Mac y Robo de Cuentas Microsoft 365 (2026)»

== Nombres Alternativos / Aliases ==

* DynamicLake Malvertising Campaign (Por el señuelo de macOS)
* ConsentFix OAuth Phishing (Por la técnica de robo de cuentas)
* Atomic Stealer X Campaign (Por el malware distribuido)
* ClickFix Evolution Campaign (Por la evolución de la técnica)

----

== Fecha de Detección / Actividad ==

* Fecha de detección: Finales de junio / principios de julio de 2026
* Fecha del informe: 2-3 de julio de 2026
* Estado: Activa (el anuncio en X fue eliminado, pero la técnica ConsentFix continúa expandiéndose)

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Característica
!Detalle
|-
|Nombre del Actor
|Desconocido (múltiples operadores)
|-
|Vínculo Gubernamental
|Ninguno
|-
|Tipo de Actor
|Ciberdelincuencia oportunista / Phishing-as-a-Service
|-
|Sofisticación
|MEDIA-ALTA. Los actores demuestran:
|}

* Uso de publicidad pagada en plataformas sociales (X)
* Compromiso de cuentas verificadas para campañas maliciosas
* Dominios similares (typosquatting) para imitar aplicaciones legítimas
* Ingeniería social avanzada (ClickFix y ConsentFix)
* Abuso de flujos OAuth legítimos para evadir MFA |  | Motivación | Financiera (robo de credenciales, cuentas, criptomonedas) |

----

== Resumen Ejecutivo ==
En julio de 2026, investigadores de seguridad documentaron dos campañas distintas que representan la evolución de las técnicas de ingeniería social:

Campaña 1: Anuncio patrocinado en X (antes Twitter)

Un anuncio patrocinado publicado desde una cuenta verificada en X redirigía a los usuarios a un dominio similar (<code>dynamicmacisland[.]com</code>) que imitaba la aplicación legítima DynamicLake para macOS. Los usuarios eran engañados para pegar comandos en Terminal que instalaban silenciosamente el malware Atomic Stealer .

Campaña 2: ConsentFix (robo de cuentas sin malware)

Una técnica llamada ConsentFix, evolución del ClickFix, roba cuentas de Microsoft 365 sin necesidad de instalar malware ni robar contraseñas. Engaña a los usuarios para que entreguen sus tokens de inicio de sesión en la nube a través del navegador, eludiendo la autenticación multifactor (MFA) .
----

== Vector de Ataque / Métodos de Distribución ==

=== Campaña 1: ClickFix en X (macOS) ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Publicidad
|Anuncio patrocinado en X desde una cuenta verificada con gran cantidad de seguidores
|-
|2. Redirección
|El enlace redirige a <code>dynamicmacisland[.]com</code> (dominio similar)
|-
|3. Ingeniería social
|La página instruye a los usuarios a abrir Terminal y pegar comandos de instalación
|-
|4. Ejecución
|Los comandos instalan silenciosamente Atomic Stealer (malware de robo de información)
|-
|5. Resultado
|Robo de contraseñas, datos de navegadores, criptomonedas y otros datos sensibles
|}

=== Por qué fue efectivo ===
{| class="wikitable"
!Factor
!Explicación
|-
|Cuenta verificada
|Añadió credibilidad a la estafa
|-
|Dominio similar
|<code>dynamicmacisland[.]com</code> vs <code>dynamiclake.com</code>
|-
|Aplicación legítima
|DynamicLake es una utilidad real de macOS
|-
|Publicidad pagada
|Evadió filtros automatizados de X
|}
<blockquote>''"La campaña combina tres tendencias preocupantes: ingeniería social al estilo ClickFix mediante comandos de terminal, dominios similares que imitan aplicaciones de Mac de confianza, e infraestructura de publicidad de pago utilizada para ampliar los ataques a una gran audiencia."''</blockquote>

=== Campaña 2: ConsentFix (Microsoft 365) ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Correo de phishing
|Correo con enlace alojado en plataformas de confianza (Dropbox, etc.)
|-
|2. Página de inicio de sesión
|Aparece una página legítima de Microsoft
|-
|3. Instrucción de usuario
|Se pide al usuario que arrastre un enlace de devolución de llamada localhost al navegador
|-
|4. Captura de tokens
|La acción entrega tokens de sesión al atacante
|-
|5. Toma de cuenta
|Acceso a correo y otros servicios de Microsoft 365 sin contraseña ni MFA
|}
<blockquote>''"Puede empezar con algo tan trivial como arrastrar un enlace al navegador. Tres segundos después, un ciberdelincuente tiene los tokens necesarios para tomar el control de tu cuenta de Microsoft 365, y tú nunca hiciste nada que la formación tradicional en seguridad detectaría."''</blockquote>
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Phishing: Spearphishing Link (T1566.002)
|Correos con enlaces maliciosos (ConsentFix)
|-
|Initial Access (TA0001)
|Drive-by Compromise (T1189)
|Anuncio malicioso en X redirige a dominio falso
|-
|Execution (TA0002)
|User Execution: Malicious Link (T1204.001)
|Usuario hace clic en enlace y ejecuta comandos en Terminal
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Dominio similar a DynamicLake; cuenta verificada en X
|-
|Defense Evasion (TA0005)
|Stealth (T1027)
|Instalación silenciosa de malware
|-
|Credential Access (TA0006)
|Credentials from Password Stores (T1555)
|Atomic Stealer roba contraseñas y cookies
|-
|Credential Access (TA0006)
|Steal Application Access Token (T1528)
|ConsentFix: robo de tokens OAuth de Microsoft**
|-
|Collection (TA0009)
|Data from Local System (T1005)
|Robo de datos de navegadores, criptomonedas
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|Comunicación con C2
|-
|Impact (TA0040)
|Account Access Removal (T1531)
|Toma de control de cuentas Microsoft 365
|}
----

== Detalle Técnico ==

=== Atomic Stealer (malware distribuido en X) ===
{| class="wikitable"
!Característica
!Descripción
|-
|Nombre
|Atomic Stealer (también AMOS)
|-
|Plataforma objetivo
|macOS
|-
|Método de instalación
|Comandos pegados en Terminal (ClickFix)
|-
|Funcionalidades
|Robo de contraseñas, cookies, datos de navegadores, criptomonedas
|-
|Variantes
|Se distribuyeron múltiples variantes del infostealer
|-
|Persistencia
|Algunas variantes incluyen backdoor para acceso persistente
|}

=== ConsentFix (robo de tokens OAuth) ===
{| class="wikitable"
!Característica
!Descripción
|-
|Objetivo
|Cuentas de Microsoft 365
|-
|Mecanismo
|Abuso de flujo OAuth legítimo
|-
|MFA
|Evadido completamente (el usuario completa MFA en la página legítima)
|-
|Contraseña
|No requerida (el usuario ya está autenticado)
|-
|Token robado
|Tokens de sesión de OAuth
|-
|Acceso resultante
|Correo electrónico, archivos, Teams, SharePoint
|}
<blockquote>''"ConsentFix es diferente porque, mientras que ClickFix te convierte en el instalador, ConsentFix te convierte en el proveedor de identidad. En lugar de engañarte para que ejecutes malware, utiliza ingeniería social para que entregues tus tokens de inicio de sesión en la nube a través del navegador sin pedirte que ejecutes malware ni que introduzcas tu contraseña."''</blockquote>
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance (X)
|ALTO
|Anuncio patrocinado visible para millones de usuarios
|-
|Alcance (ConsentFix)
|ALTO
|Método compartido en foros rusos de ciberdelincuencia
|-
|Evasión de MFA
|MUY ALTA
|ConsentFix elude MFA completamente
|-
|Detección
|BAJA
|Uso de plataformas legítimas (X, Microsoft, Dropbox)
|-
|Impacto en cuentas
|MUY ALTO
|Robo de cuentas Microsoft 365 completas
|}

=== Consecuencias para las víctimas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Robo de datos personales
|Crítica
|Contraseñas, cookies, datos de navegadores (Atomic Stealer)
|-
|Robo de criptomonedas
|Crítica
|Monederos de criptomonedas comprometidos
|-
|Toma de cuenta Microsoft 365
|Crítica
|Acceso a correo, archivos, Teams, SharePoint
|-
|Suplantación de identidad
|Alta
|El atacante puede actuar como la víctima
|-
|Acceso continuado
|Alta
|Tokens OAuth permiten acceso persistente
|}

=== Respuesta de X ===
<blockquote>''"Los investigadores denunciaron el anuncio a X y contactaron al propietario de la cuenta. El anuncio parece haber sido eliminado."''</blockquote>
----

== Recomendaciones de Mitigación ==

=== Para usuarios de macOS ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|No confiar en anuncios patrocinados
|CRÍTICA
|Especialmente para descargas de software
|-
|Verificar dominios
|CRÍTICA
|<code>dynamiclake.com</code> (legítimo) vs <code>dynamicmacisland.com</code> (malicioso)
|-
|No pegar comandos en Terminal
|CRÍTICA
|Las aplicaciones legítimas nunca piden esto
|-
|Descargar solo desde sitios oficiales
|ALTA
|Verificar la URL del sitio oficial
|-
|Usar protección en navegador
|ALTA
|Malwarebytes Browser Guard protege contra sitios maliciosos
|}

=== Para usuarios de Microsoft 365 ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|No arrastrar enlaces al navegador
|CRÍTICA
|Especialmente durante procesos de inicio de sesión
|-
|Verificar la URL
|CRÍTICA
|Comprobar que la barra de direcciones muestra el dominio esperado
|-
|Desconfiar de instrucciones inusuales
|ALTA
|"Arrastre este enlace" o "Pegue esta URL"
|-
|Usar gestor de contraseñas
|ALTA
|Ayuda a identificar sitios falsos (no autocompleta)
|}

=== Para organizaciones ===
{| class="wikitable"
!Acción
!Descripción
|-
|Educación en concienciación
|Incluir ejemplos de ClickFix y ConsentFix
|-
|Monitoreo de tokens OAuth
|Detectar actividad anómala en cuentas Microsoft 365
|-
|Revisar concesiones OAuth
|Auditar aplicaciones con acceso a Azure CLI
|-
|Políticas de MFA
|Aunque ConsentFix elude MFA, sigue siendo una capa importante
|}

=== Herramientas de protección ===
{| class="wikitable"
!Herramienta
!Propósito
|-
|Malwarebytes Browser Guard
|Bloqueo de sitios maliciosos y páginas de phishing
|-
|Extensiones de seguridad
|Protección adicional en navegadores
|-
|Antimalware actualizado
|Detección de Atomic Stealer y otras amenazas
|}
----

== Contexto Más Amplio: Evolución de ClickFix ==
{| class="wikitable"
!Técnica
!Descripción
!Año
|-
|ClickFix
|Engaña al usuario para que pegue comandos que instalan malware
|2024-2025
|-
|ClickFix (macOS)
|Usa Terminal para instalar malware (DynamicLake)
|2026
|-
|ConsentFix
|Roba tokens OAuth sin instalar malware
|2025-2026
|}
Patrón común: Los atacantes están evolucionando de la instalación de malware al robo de tokens de autenticación, lo que les permite eludir MFA y acceder a cuentas sin necesidad de credenciales.
----

== Opiniones de Expertos ==
<blockquote>''"Esta campaña combina tres tendencias preocupantes: ingeniería social al estilo ClickFix mediante comandos de terminal, dominios similares que imitan aplicaciones de Mac de confianza, e infraestructura de publicidad de pago utilizada para ampliar los ataques a una gran audiencia."''

— Investigadores de Jamf</blockquote><blockquote>''"ConsentFix es diferente porque, mientras que ClickFix te convierte en el instalador, ConsentFix te convierte en el proveedor de identidad."''

— Malwarebytes</blockquote><blockquote>''"Puede empezar con algo tan trivial como arrastrar un enlace al navegador. Tres segundos después, un ciberdelincuente tiene los tokens necesarios para tomar el control de tu cuenta de Microsoft 365, y tú nunca hiciste nada que la formación tradicional en seguridad detectaría."''

— Malwarebytes</blockquote>
----

== Referencias y Fuentes ==

# Arntz, P. (2026, 3 de julio). ''Verified X ad spreads Mac malware, while ConsentFix steals Microsoft accounts''. Malwarebytes.
# 9to5Mac. (2026, 2 de julio). ''Malware found spreading through sponsored ad on X''. 9to5Mac.
# Jamf Threat Labs. (2026, julio). ''ClickFix-style attack on X distributing Atomic Stealer''.
# Malwarebytes. (2026, 3 de julio). ''ConsentFix technique analysis''.
# Push Security. (2025, diciembre). ''ConsentFix: OAuth phishing technique''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-07-03
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en informes de Malwarebytes, 9to5Mac y Jamf Threat Labs
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Dominios maliciosos (Campaña ClickFix macOS) ===
{| class="wikitable"
!Tipo
!Indicador
|-
|Dominio falso
|<code>dynamicmacisland[.]com</code>
|-
|Dominio legítimo
|<code>dynamiclake.com</code> (NO es malicioso; el falso lo imita)
|}

=== Malware (Campaña ClickFix macOS) ===
{| class="wikitable"
!Tipo
!Nombre
|-
|Infostealer
|Atomic Stealer (también AMOS)
|-
|Plataforma
|macOS
|-
|Señuelo
|DynamicLake (utilidad legítima de macOS)
|}

=== Técnicas (ConsentFix) ===
{| class="wikitable"
!Tipo
!Descripción
|-
|Plataforma objetivo
|Microsoft 365
|-
|Mecanismo
|Robo de tokens OAuth vía Azure CLI
|-
|Evasión
|Elude MFA y contraseñas
|}

=== Comportamiento anómalo a monitorear ===
{| class="wikitable"
!Categoría
!Comportamiento
|-
|Redes sociales
|Anuncios patrocinados de software desde cuentas verificadas
|-
|Dominios
|Similares a software legítimo (typosquatting)
|-
|Terminal (macOS)
|Instrucciones para pegar comandos en Terminal
|-
|Microsoft 365
|Inicios de sesión desde ubicaciones inusuales
|-
|Microsoft 365
|Actividad de Azure CLI no autorizada
|-
|Navegador
|Instrucciones de "arrastrar enlace" durante inicio de sesión
|}
----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿La cuenta verificada en X fue comprometida o el propietario fue engañado?
|El propietario probablemente fue engañado
|-
|¿Cuántos usuarios descargaron el malware?
|No especificado
|-
|¿X ha implementado medidas para prevenir anuncios maliciosos?
|No especificado
|-
|¿ConsentFix está siendo utilizado activamente en ataques a gran escala?
|Sí, el método se ha compartido en foros rusos
|-
|¿Microsoft tiene planes de mitigar el abuso de Azure CLI?
|No especificado
|}
----

== Etiquetas / Categorías ==
 clickfix-consentfix-malvertising dynamiclake-fake-x-verified-ad atomic-stealer-macos microsoft-365-oauth-theft consentfix-azure-cli-mfa-bypass typosquatting-campaign social-engineering-evolution terminal-paste-attack browser-native-phishing token-hijacking