La técnica ClickFix ha experimentado un aumento del 108% en su detección entre la segunda mitad de 2025 y la primera de 2026, según la telemetría de ESET. A diferencia del malware tradicional, esta estrategia de ingeniería social no instala archivos sospechosos directamente, sino que induce al usuario a ejecutar voluntariamente un comando malicioso en su propio sistema operativo. El mecanismo se activa mediante una verificación falsa de seguridad en páginas web comprometidas, que copia un comando al portapapeles y le pide al usuario pegarlo en herramientas como PowerShell, Windows Terminal o Terminal de macOS antes de pulsar Enter.
Esta acción es el punto crítico de la infección, ya que el atacante no necesita superar las protecciones de seguridad convencionales, como la cuarentena o la notarización, si logra que el usuario ejecute la orden manualmente. En el caso de BlueVoyant, esta técnica se utilizó como puerta de entrada tras la desarticulación de su infraestructura de certificados por parte de Microsoft. La campaña permite a los atacantes descargar y ejecutar loaders, establecer persistencia y conectar el equipo a infraestructuras controladas para recibir nuevas órdenes. Microsoft ha documentado variantes como TerminalFix, que dirige a las víctimas hacia Windows Terminal o PowerShell para lanzar cadenas de comandos más complejas. Apple, por su parte, ha incorporado protecciones en macOS 26.4 para detectar y bloquear comandos sospechosos pegados en Terminal, aunque la técnica sigue siendo eficaz si el usuario actúa con la confianza de estar realizando una acción legítima de verificación.