Como o ClickFix funciona: a engrenagem do engano

O ataque segue um padrão consistente em praticamente todas as campanhas documentadas :

1. A isca: O usuário visita um site comprometido ou criado por criminosos e se depara com um prompt de verificação falso — um reCAPTCHA do Google fajuto, uma página falsa do Cloudflare com os dizeres "Verifique se você é humano", uma notificação falsa de atualização do navegador ou uma tela de erro do QuickBooks ou Booking.com .
2. A instrução de copiar e colar: A página exibe instruções como: "Pressione Win + R, depois pressione Ctrl + V e, em seguida, Enter" para concluir a verificação .
3. O payload oculto: O que foi copiado para a área de transferência do usuário é, na verdade, um comando malicioso do PowerShell, mshta ou curl que baixa e executa um carregador de malware de um servidor remoto .
4. Execução: O comando roda com as mesmas permissões do usuário. Como foi a própria vítima que colou e executou o comando, as ferramentas de detecção de endpoint muitas vezes não conseguem identificar a ação como uma intrusão .

Essa técnica também é conhecida como pastejacking ("sequestro de área de transferência"), pois explora a área de transferência como vetor de infecção .

Payloads entregues nas campanhas ClickFix

Os atacantes usam as iscas do ClickFix para distribuir uma vasta gama de malwares, muitas vezes em cadeias de infecção com múltiplos estágios:

• HijackLoader: Um loader de primeiro estágio observado em cadeias ClickFix desde pelo menos junho de 2025, frequentemente seguido pelo infostealer DeerStealer .
• CastleLoader (também conhecido como CastleBot): Um framework de malware-como-serviço ativo desde o início de 2025. Uma campanha usou um site falso de remoção de fundo de imagens para entregar o CastleLoader, que então instalava o NetSupport RAT e um stealer personalizado em .NET que mirava credenciais de navegadores, carteiras de criptomoedas e sessões do Telegram .
• NetSupport RAT: Uma ferramenta legítima de administração remota, reaproveitada por atacantes para acesso backdoor persistente .
• StealC: Um trojan que rouba informações, visando credenciais de navegadores e carteiras de criptomoedas .
• Amatera: Um infostealer distribuído via uma campanha ClickFix que combinava CAPTCHAs falsos com scripts Microsoft App-V assinados .
• Stealer baseado em Rust: Documentado em campanhas ClickFix polimórficas que começaram no final de 2025 .
• DeerStealer: Observado como o payload executável final entregue após o HijackLoader .
• ResiLoader: Um loader recém-documentado, projetado especificamente para encerrar mais de 140 processos de antivírus e ferramentas de segurança na máquina da vítima, desabilitando as defesas antes que o payload final seja executado .

Métodos de distribuição

Os atacantes usam uma ampla gama de infraestruturas para hospedar e distribuir os ataques ClickFix:

• Armazenamento Cloudflare R2: Usado para hospedar binários de payloads maliciosos .
• Subdomínios do Cloudflare Pages: Abusados para servir páginas de CAPTCHA falsas com o certificado de confiança do próprio Cloudflare .
• Hospedagem da Dedik Services Limited: Observada como provedora de infraestrutura de comando e controle do ClickFix .
• Domínios expirados: Domínios expirados registrados ou re-registrados usados para captura de credenciais e entrega de payloads .
• Sites comprometidos: O vetor inicial mais comum. Os atacantes injetam JavaScript malicioso ou iframes em sites legítimos (muitas vezes via vulnerabilidades de plugins ou exploits em CMS) que redirecionam os visitantes para páginas de destino do ClickFix .
• Envenenamento de SEO e malvertising: Sites falsos de instaladores e portais de software pirata impulsionados por resultados de mecanismos de busca .
• Exploração de vulnerabilidade do Ghost CMS: Em maio de 2026, atacantes abusaram de uma vulnerabilidade crítica de injeção SQL no Ghost CMS (CVE‑2026‑26980) para sequestrar mais de 700 sites legítimos de educação e tecnologia e injetar prompts do ClickFix .

Por que o ClickFix é a principal ameaça

• O Digital Defense Report de 2025 da Microsoft identificou o ClickFix como o método de acesso inicial nº 1, responsável por 47% de todos os ataques observados pela equipe Microsoft Defender Experts no ano anterior — superando o phishing tradicional (35%) .
• A telemetria da ESET registrou um aumento de 517% nos ataques ClickFix apenas no primeiro semestre de 2025 .
• Em uma campanha documentada pela Menlo Labs, o ClickFix entregou payloads multiplataforma: comandos PowerShell para Windows, scripts .command para macOS e scripts Bash para Linux a partir de uma única isca JavaScript polimórfica .
• O Departamento de Saúde e Serviços Humanos dos EUA (HHS) emitiu um alerta setorial sobre o ClickFix em julho de 2026, confirmando o alcance da técnica em infraestruturas críticas .
• O Insikt Group da Recorded Future avaliou, em março de 2026, que o ClickFix provavelmente continuará sendo o vetor de acesso inicial dominante ao longo de 2026 .

Como se defender: o que os especialistas recomendam

Como o ClickFix explora o comportamento humano e não uma vulnerabilidade de software, a defesa depende fortemente de controles técnicos e da conscientização do usuário :

• Restrinja a execução do PowerShell: Bloqueie usuários não administrativos de executar scripts do PowerShell. Defina a política de execução como Restricted via Política de Grupo e registre todos os eventos de execução do PowerShell .
• Desabilite a caixa Executar do Windows: Uma modificação no registro (política NoRun) pode impedir que o Win+R seja usado para colar e executar comandos .
• Trate instruções não solicitadas no prompt de comando como bandeiras vermelhas: Nenhum site ou serviço legítimo pede para o usuário pressionar Win+R, colar um comando e apertar Enter. Esse deve ser o principal item de treinamento de conscientização do usuário .
• Bloqueie a execução de mshta, cscript e curl no contexto do usuário: Use o AppLocker ou o Windows Defender Application Control para restringir interpretadores de script .
• Implemente regras de detecção de endpoint: Monitore processos-pai incomuns de powershell.exe -ep bypass, linhagem de processos de explorer.exe para interpretadores de script e artefatos do registro RunMRU .
• Use recursos de segurança da área de transferência: Proteções de área de transferência no nível do navegador podem impedir o mecanismo central de copiar e colar do qual o ClickFix depende.

O recurso Paste Protect do Opera

O Opera introduziu um recurso nativo chamado Paste Protect (disponível no Opera 100+ no Windows, macOS e Linux) que intercepta e bloqueia ataques de pastejacking baseados em área de transferência. Quando um site tenta escrever programaticamente um payload suspeito na área de transferência e depois solicita que o usuário cole, o Paste Protect avisa o usuário e bloqueia a conclusão da operação. Isso mitiga diretamente a técnica central do ClickFix sem exigir a instalação de nenhuma extensão.

Como o ClickFix funciona: a engrenagem do engano

O ataque segue um padrão consistente em praticamente todas as campanhas documentadas :

1. A isca: O usuário visita um site comprometido ou criado por criminosos e se depara com um prompt de verificação falso — um reCAPTCHA do Google fajuto, uma página falsa do Cloudflare com os dizeres "Verifique se você é humano", uma notificação falsa de atualização do navegador ou uma tela de erro do QuickBooks ou Booking.com .
2. A instrução de copiar e colar: A página exibe instruções como: "Pressione Win + R, depois pressione Ctrl + V e, em seguida, Enter" para concluir a verificação .
3. O payload oculto: O que foi copiado para a área de transferência do usuário é, na verdade, um comando malicioso do PowerShell, mshta ou curl que baixa e executa um carregador de malware de um servidor remoto .
4. Execução: O comando roda com as mesmas permissões do usuário. Como foi a própria vítima que colou e executou o comando, as ferramentas de detecção de endpoint muitas vezes não conseguem identificar a ação como uma intrusão .

Essa técnica também é conhecida como pastejacking ("sequestro de área de transferência"), pois explora a área de transferência como vetor de infecção .

Payloads entregues nas campanhas ClickFix

Os atacantes usam as iscas do ClickFix para distribuir uma vasta gama de malwares, muitas vezes em cadeias de infecção com múltiplos estágios:

• HijackLoader: Um loader de primeiro estágio observado em cadeias ClickFix desde pelo menos junho de 2025, frequentemente seguido pelo infostealer DeerStealer .
• CastleLoader (também conhecido como CastleBot): Um framework de malware-como-serviço ativo desde o início de 2025. Uma campanha usou um site falso de remoção de fundo de imagens para entregar o CastleLoader, que então instalava o NetSupport RAT e um stealer personalizado em .NET que mirava credenciais de navegadores, carteiras de criptomoedas e sessões do Telegram .
• NetSupport RAT: Uma ferramenta legítima de administração remota, reaproveitada por atacantes para acesso backdoor persistente .
• StealC: Um trojan que rouba informações, visando credenciais de navegadores e carteiras de criptomoedas .
• Amatera: Um infostealer distribuído via uma campanha ClickFix que combinava CAPTCHAs falsos com scripts Microsoft App-V assinados .
• Stealer baseado em Rust: Documentado em campanhas ClickFix polimórficas que começaram no final de 2025 .
• DeerStealer: Observado como o payload executável final entregue após o HijackLoader .
• ResiLoader: Um loader recém-documentado, projetado especificamente para encerrar mais de 140 processos de antivírus e ferramentas de segurança na máquina da vítima, desabilitando as defesas antes que o payload final seja executado .

Métodos de distribuição

Os atacantes usam uma ampla gama de infraestruturas para hospedar e distribuir os ataques ClickFix:

• Armazenamento Cloudflare R2: Usado para hospedar binários de payloads maliciosos .
• Subdomínios do Cloudflare Pages: Abusados para servir páginas de CAPTCHA falsas com o certificado de confiança do próprio Cloudflare .
• Hospedagem da Dedik Services Limited: Observada como provedora de infraestrutura de comando e controle do ClickFix .
• Domínios expirados: Domínios expirados registrados ou re-registrados usados para captura de credenciais e entrega de payloads .
• Sites comprometidos: O vetor inicial mais comum. Os atacantes injetam JavaScript malicioso ou iframes em sites legítimos (muitas vezes via vulnerabilidades de plugins ou exploits em CMS) que redirecionam os visitantes para páginas de destino do ClickFix .
• Envenenamento de SEO e malvertising: Sites falsos de instaladores e portais de software pirata impulsionados por resultados de mecanismos de busca .
• Exploração de vulnerabilidade do Ghost CMS: Em maio de 2026, atacantes abusaram de uma vulnerabilidade crítica de injeção SQL no Ghost CMS (CVE‑2026‑26980) para sequestrar mais de 700 sites legítimos de educação e tecnologia e injetar prompts do ClickFix .

Por que o ClickFix é a principal ameaça

• O Digital Defense Report de 2025 da Microsoft identificou o ClickFix como o método de acesso inicial nº 1, responsável por 47% de todos os ataques observados pela equipe Microsoft Defender Experts no ano anterior — superando o phishing tradicional (35%) .
• A telemetria da ESET registrou um aumento de 517% nos ataques ClickFix apenas no primeiro semestre de 2025 .
• Em uma campanha documentada pela Menlo Labs, o ClickFix entregou payloads multiplataforma: comandos PowerShell para Windows, scripts .command para macOS e scripts Bash para Linux a partir de uma única isca JavaScript polimórfica .
• O Departamento de Saúde e Serviços Humanos dos EUA (HHS) emitiu um alerta setorial sobre o ClickFix em julho de 2026, confirmando o alcance da técnica em infraestruturas críticas .
• O Insikt Group da Recorded Future avaliou, em março de 2026, que o ClickFix provavelmente continuará sendo o vetor de acesso inicial dominante ao longo de 2026 .

Como se defender: o que os especialistas recomendam

Como o ClickFix explora o comportamento humano e não uma vulnerabilidade de software, a defesa depende fortemente de controles técnicos e da conscientização do usuário :

• Restrinja a execução do PowerShell: Bloqueie usuários não administrativos de executar scripts do PowerShell. Defina a política de execução como Restricted via Política de Grupo e registre todos os eventos de execução do PowerShell .
• Desabilite a caixa Executar do Windows: Uma modificação no registro (política NoRun) pode impedir que o Win+R seja usado para colar e executar comandos .
• Trate instruções não solicitadas no prompt de comando como bandeiras vermelhas: Nenhum site ou serviço legítimo pede para o usuário pressionar Win+R, colar um comando e apertar Enter. Esse deve ser o principal item de treinamento de conscientização do usuário .
• Bloqueie a execução de mshta, cscript e curl no contexto do usuário: Use o AppLocker ou o Windows Defender Application Control para restringir interpretadores de script .
• Implemente regras de detecção de endpoint: Monitore processos-pai incomuns de powershell.exe -ep bypass, linhagem de processos de explorer.exe para interpretadores de script e artefatos do registro RunMRU .
• Use recursos de segurança da área de transferência: Proteções de área de transferência no nível do navegador podem impedir o mecanismo central de copiar e colar do qual o ClickFix depende.

O recurso Paste Protect do Opera

O Opera introduziu um recurso nativo chamado Paste Protect (disponível no Opera 100+ no Windows, macOS e Linux) que intercepta e bloqueia ataques de pastejacking baseados em área de transferência. Quando um site tenta escrever programaticamente um payload suspeito na área de transferência e depois solicita que o usuário cole, o Paste Protect avisa o usuário e bloqueia a conclusão da operação. Isso mitiga diretamente a técnica central do ClickFix sem exigir a instalação de nenhuma extensão.