Mandy estaba varada en un aeropuerto con algunas horas por matar. Decidió hacerse las uñas, así que encontró un spa listado en el sitio web del aeropuerto y le dio clic. Parecía el sitio web real del spa, con un dominio normal y HTTPS, y Chrome no mostraba advertencias.
Entonces apareció una prueba CAPTCHA. Nada demasiado inusual ahí. Pedía algunos "pasos de verificación" para confirmar que era un usuario humano:
Mantén presionada la tecla Windows + R
En la ventana de verificación, presiona Ctrl + V
Presiona Enter
Un ejemplo de ataque ClickFix donde se le indica al usuario que presione "Windows Key + R" y pegue un comando en el cuadro de diálogo Ejecutar que se abre.
Pero esta simple secuencia de teclas en realidad abre el cuadro de diálogo Ejecutar de Windows, y en este caso, habría pegado un comando malicioso de PowerShell que la página web copió silenciosamente al portapapeles. (El cuadro de diálogo Ejecutar de Windows es una pequeña ventana que te permite escribir un comando o el nombre de un programa y ejecutarlo de inmediato.)
Si Mandy hubiera presionado Enter, el comando habría descargado y ejecutado un archivo de internet. Ese archivo establece persistencia mediante una clave de registro, instala un troyano de acceso remoto y roba las contraseñas guardadas, cookies y datos de tarjetas de crédito del navegador.
Este no es un ejemplo hipotético. Esto le pasó realmente a una empleada de Huntress (nombre cambiado por privacidad). Por suerte, ella se dio cuenta de lo que pasaba y no cayó en la trampa. Mucha gente no tiene tanta suerte. Así que esta publicación trata sobre una idea simple: ¿qué pasaría si "Windows key + R" no abriera nada en absoluto?
¿Qué es ClickFix y por qué está en todas partes?
ClickFix es un ataque simple de ingeniería social que engaña a los usuarios para que ejecuten comandos maliciosos que no entienden. Suele usar mensajes relacionados con solucionar un problema, de ahí el nombre "ClickFix".
Y funciona muy bien. Nuestro Informe de ciberamenazas 2026 vinculó a ClickFix y a las estafas de CAPTCHA falso con más de la mitad de toda la actividad de cargadores de malware. En nuestro propio SOC, los ataques tipo ClickFix al cuadro de diálogo Ejecutar ahora representan el 31% de las señales del SOC de EDR.
Los señuelos siguen cambiando: pantallas falsas de actualización de Windows, anuncios falsos de Docker, sitios web comprometidos de pequeñas empresas, y ahora chatbots de IA maliciosos. Pero la versión clásica casi siempre termina igual, con la tecla Windows + R.
La mayoría de tus usuarios nunca debería abrir el cuadro de diálogo Ejecutar
Esto es lo que lo hace tan frustrante. El cuadro de diálogo Ejecutar es un atajo para usuarios avanzados. A la gente de TI le encanta. La mayoría de los empleados nunca lo ha abierto a propósito y no sabría qué escribir ahí si lo hiciera.
Hemos visto esto reflejado en los datos. En las organizaciones con Early Access a ESPM, es común ver que el 90% o más de los usuarios nunca usa el cuadro de diálogo Ejecutar. Por eso no reconocen los comandos que están pegando como un problema.
Cuadro de diálogo Ejecutar en Windows en el que un usuario pegó un comando malicioso, copiado sin darse cuenta desde un ataque ClickFix.
Esa es una gran brecha. Una función que casi nadie necesita es el punto de partida de casi un tercio de lo que investiga nuestro SOC de EDR. La detección sigue siendo importante, y el motor de Attack Disruption de Huntress Managed EDR puede eliminar muchas cadenas de ClickFix en menos de un segundo. Pero cuando el ataque depende de una función que tus usuarios no necesitan, la solución más simple es desactivar esa función. Si tan solo hubiera una forma fácil de hacerlo... Ah, espera, ¡ahora la hay!
Presentamos Attack Reduction
Attack Reduction es una nueva capacidad en Huntress Managed ESPM que desactiva funciones de Windows que tus usuarios nunca usan, pero de las que dependen los atacantes, empezando con "tecla de Windows + R". Esto encaja con el propósito de ESPM: proteger tus endpoints antes de que comience un ataque.
Panel de Attack Reduction de ESPM
Empezamos con el cuadro de diálogo Ejecutar, porque ahí es donde comienza ClickFix. Vienen más controles:
Disponible ahora: bloqueo del cuadro de diálogo Ejecutar para los usuarios que no lo necesitan, para interrumpir los ataques de "tecla de Windows + R".
Planeado: restricciones del símbolo del sistema para los usuarios que no usan
cmd.exe.Planeado: restricciones de PowerShell interactivo para los usuarios que no lo usan.
Planeado: reglas de reducción de la superficie de ataque (ASR) de Windows que evitan que las aplicaciones de Office, de scripts y de correo electrónico se ejecuten o inyecten cargas útiles.
Planeado: bloqueo de aplicaciones HTML (mshta) para los usuarios que no las usan.
Cómo funciona Attack Reduction
Lo difícil de desactivar una función de Windows no es accionar el interruptor. Es saber a quién afectará y no interrumpir los flujos de trabajo legítimos. Attack Reduction se diseñó teniendo esto en cuenta.
1. Ve quién realmente usa el cuadro de diálogo Ejecutar
Una vez que ESPM está activo, Attack Reduction recopila el historial del cuadro de diálogo Ejecutar de cada usuario y crea una línea base. En el panel de Attack Reduction, puedes ver qué usuarios dependen del cuadro de diálogo Ejecutar y cuáles nunca lo tocan, en toda tu cuenta o en una organización a la vez. Sabrás exactamente a quién afectaría antes de que cambie algo.
El panel también marca comandos en el historial de Ejecutar de un usuario que parecen ClickFix. Windows no registra cuándo se ejecutaron esos comandos, así que trátalos como un motivo para investigar, no como prueba de un ataque activo.
El panel de Attack Reduction de ESPM y cuántos usuarios utilizan el cuadro de diálogo Ejecutar por semana.
2. Activa el bloqueo
Cuando estés listo, activa el bloqueo a nivel de cuenta u organización. Attack Reduction desactiva entonces el atajo "tecla de Windows + R" para los usuarios que no lo necesitan. Los usuarios que dependen del cuadro de diálogo Ejecutar pueden conservarlo, y puedes cambiar a cualquier usuario entre permitido y bloqueado en cualquier momento.
3. Los usuarios reciben un mensaje claro, no un misterio
Si un usuario bloqueado presiona la tecla de Windows + R, no se ejecuta nada. En su lugar, ven una ventana emergente que explica que la acción se bloqueó por razones de seguridad y les pide que contacten a su equipo de soporte de TI o que tomen el Security Awareness Training. De cualquier forma, el ataque se detiene y un usuario confundido recibe una lección rápida de seguridad.
4. Obtienes un registro de lo que casi ejecutaron
Cuando se bloquea a un usuario que presiona la tecla de Windows + R, Attack Reduction también captura lo que había en su portapapeles. Si alguien estaba a punto de pegar un comando malicioso, lo tendrás registrado, lo cual te ayuda a identificar a los usuarios que están siendo blanco de ataques y hacer un seguimiento.
El panel de Attack Reduction de ESPM y una lista de intentos bloqueados de usuarios que trataron de usar el cuadro de diálogo Ejecutar.
Lo que Attack Reduction no hace
Queremos ser claros sobre los límites de esto, porque ClickFix es un objetivo cambiante.
Bloquear el cuadro de diálogo Ejecutar interrumpe la versión más común de ClickFix. No detiene todas. Los atacantes pueden decirles a los usuarios, y ya lo hacen, que peguen comandos en la barra de direcciones del Explorador de archivos, en Windows Terminal, en el símbolo del sistema o en PowerShell.
Por eso el cuadro de diálogo Ejecutar es el primer paso, no el último. Cada vía que cerramos hace que el ataque sea más difícil de llevar a cabo, y los controles planificados para el símbolo del sistema y PowerShell apuntan justamente a esos próximos movimientos. Attack Reduction también funciona mejor junto con el resto de tus defensas: Managed EDR para detectar lo que se filtre, y Managed SAT para que los usuarios sepan que una prueba CAPTCHA real nunca les pedirá pegar un comando.
Comienza a usar Attack Reduction
Attack Reduction ya está disponible como parte de Huntress Managed ESPM Early Access para los socios y clientes actuales de Huntress.
¿Todavía no estás en ESPM Early Access? Haz clic en el ícono de ESPM en el menú izquierdo de tu portal de Huntress para inscribirte. Luego deja que Attack Reduction recopile una línea base para que puedas ver qué usuarios realmente necesitan el cuadro de diálogo Ejecutar antes de activar el bloqueo.
A medida que los socios de Early Access pongan en práctica esta capacidad, sus comentarios decidirán qué funciones de Windows abordamos a continuación y cómo construimos esos controles.
¿Tienes ideas o solicitudes? Compártelas en feedback.huntress.com/espm. Y mantente atento. Viene mucho más para Managed ESPM.
