Se você costuma clicar em CAPTCHAs no piloto automático para provar que é humano, ligue o sinal de alerta. Pesquisadores de segurança da Malwarebytes descobriram que cibercriminosos estão utilizando uma técnica psicológica altamente eficaz para distribuir malwares.
Batizada de ClickFix, a campanha afeta milhares de dispositivos e se destaca por não explorar uma vulnerabilidade de software tradicional, mas sim a ingenuidade e o comportamento do próprio usuário.
Anatomia do Ataque: Como funciona o ClickFix?
O golpe é baseado puramente em engenharia social e manipulação psicológica. O fluxo do ataque acontece da seguinte forma:
- A Isca: O usuário acessa uma página maliciosa que imita perfeitamente serviços de segurança legítimos e confiáveis, como o Google ou a Cloudflare.
- O Problema: A página exibe uma verificação do tipo “Prove que você é humano”. No entanto, o suposto CAPTCHA falha ou simula um erro no navegador.
- A “Solução” Armada: Para resolver o erro, o site exibe um botão de “copiar e colar” com instruções passo a passo. O texto orienta a vítima a abrir o terminal de comando do Windows (PowerShell) e colar a linha de código fornecida para “validar” o acesso.
Ao seguir essas instruções, o usuário abre voluntariamente as portas do sistema e executa um script malicioso diretamente no núcleo do sistema operacional.
O que acontece nos bastidores? (A análise técnica)
Por trás da interface simples do site falso, existe uma engrenagem de infecção em cadeia projetada para burlar softwares de segurança:
[Código colado no PowerShell]
│
▼ (Baixa um script oculto)
[Software legítimo modificado (Franz)]
│
▼ (Carrega o componente malicioso)
[ResiLoader]
│
▼ (Aplica técnica BYOVD)
[Desativação de +140 processos de Antivírus]
O truque do BYOVD (Bring Your Own Vulnerable Driver)
Para conseguir controle total da máquina sem ser detectado, o malware utiliza a técnica BYOVD (Traga Seu Próprio Driver Vulnerável, em tradução livre).
O carregador (apelidado de ResiLoader) instala um arquivo legítimo e assinado digitalmente da empresa de segurança OPSWAT, mas que é antigo e possui brechas conhecidas. Através dessa falha no driver legítimo, o malware consegue forçar o encerramento de mais de 140 processos de antivírus, deixando o computador totalmente indefeso.
Uma vez livre de defesas, o vírus se camufla sob o processo nativo do Windows ServiceModelReg.exe e começa a agir silenciosamente como um infostealer (ladrão de dados).
O que o malware consegue roubar?
- Senhas salvas em navegadores de internet.
- Credenciais de cartões de crédito.
- Chaves privadas e saldos de carteiras de criptomoedas.
- Sessões ativas de login (cookies de sessão).
Curiosidade técnica: Os criminosos utilizam um sistema inteligente de direcionamento de tráfego. O servidor identifica o sistema operacional do visitante: se for Windows, entrega o script do PowerShell; se for Android ou Mac, o fluxo do golpe muda para se adaptar à arquitetura da vítima.
Como mitigar esse risco?
A melhor defesa contra o ClickFix não depende de um software avançado, mas sim de boas práticas de segurança:
- NUNCA copie e cole comandos no PowerShell: Nenhum site legítimo na internet, muito menos uma verificação de CAPTCHA da Cloudflare ou Google, vai exigir que você abra o terminal do Windows para corrigir um erro de navegação.
- Cuidado com o senso de urgência: Os golpistas utilizam contadores de tempo e alertas visuais piscando para fazer você agir por impulso. Se o site está te pressionando para resolver algo rápido, desconfie imediatamente.
- Ative o MFA (Autenticação de Dois Fatores): Garanta que o MFA esteja ativo em todas as suas contas de e-mail, redes sociais e carteiras de cripto. Mesmo que o malware roube suas senhas, ele terá muito mais dificuldade para invadir suas contas sem o segundo fator de autenticação.
