ClickFix: o ataque ridículo que está a apanhar PCs e Macs

Um site que já visitas há anos, um CAPTCHA com ar de Cloudflare, uma caixa com um comando meio escondido e a instrução: copia, cola no terminal e carrega em Enter. É só isto o ClickFix. E é precisamente por ser tão simples que está a espalhar-se por PCs Windows e Macs a um ritmo que já deixou de ser notícia isolada para se tornar paisagem.

Investigadores de segurança falam em milhares de sites comprometidos a mostrar estes CAPTCHA falsos. Há quem use documentos públicos de Google Sheets como parte da cadeia de ataque, outros escondem a infraestrutura de comando e controlo em contratos inteligentes na blockchain. Até grupos patrocinados pelo Kremlin, como a Sandworm, já adoptaram a técnica. Quando o crime organizado e grupos estatais convergem num método, a mensagem é clara: funciona, é barato e escala bem.

A versão curta do ataque é esta: o utilizador vê um CAPTCHA, clica, recebe uma linha de texto “técnica” e instruções para a colar no Windows Run, PowerShell ou terminal do macOS. Ao fazê-lo, está a executar ele próprio o comando que instala o malware, como o Lorem Ipsum descrito pela BlueVoyant. Antes, os atacantes tinham de manter infraestruturas mais pesadas, com sites de download manipulados para SEO, certificados de assinatura de código confiados pela Microsoft e instaladores MSI com domínios em rotação constante. Agora, trocam tudo isso por algo bem mais perverso: a “legitimidade” de a vítima ter corrido o comando por iniciativa própria.

É fácil cair na tentação de gozar quem cai nisto. Mas convém olhar com alguma honestidade para o estado da navegação na web em 2026. Pop-ups difíceis de fechar, banners que parecem botões do sistema, CAPTCHAs intermináveis, interfaces que mudam todos os meses. O utilizador médio está cansado. Desensibilizado. Quando aparece mais uma janela com instruções estranhas, encaixa na mesma categoria de sempre: chato, mas necessário para chegar ao que precisa. E este clima de fadiga é terreno fértil para esquemas assim, tal como já se viu em campanhas massivas como as que exploram falhas em plugins de WordPress ou o histórico da falha crítica no Elementor Pro.

No macOS, a situação não é confortável. Empresas como a Jamf e investigadores independentes já documentaram variantes do ClickFix capazes de contornar o Gatekeeper. Ou seja, aquela sensação de “no Mac estou mais seguro” vale pouco quando és tu próprio a abrir a porta com um comando no terminal. Do lado de Windows, a Microsoft lá vai respondendo com novas camadas de defesa, mas é a mesma história que já vimos noutras campanhas recentes em que a IA ajuda a multiplicar falhas e exploração: à medida que o sistema complica, o humano no meio torna-se o elo mais fraco.

Há mitigadores específicos. No macOS, o BlockBlock consegue travar ataques ClickFix quando detecta processos a tentar instalar-se de forma persistente assim que carregas no ⌘+V. Extensões como o uBlock passaram a bloquear certos padrões destes CAPTCHAs falsos. Mas nenhum plugin resolve o problema base: uma web hostil que condicionou as pessoas a obedecer a instruções absurdas. Enquanto navegarmos num ambiente em que “copia isto no terminal” soa tão absurdo como “aceita mais estes cookies” e, ainda assim, seguimos em frente, o ClickFix não é um desvio. É o novo normal do malware.

Fonte: Ars Technica