Não foi há assim tanto tempo que os ataques ClickFix eram exóticos. Agora, a técnica tornou-se dominante, com os atacantes a aproveitar a sua simplicidade e eficácia para infetar utilizadores de PCs e Macs por igual. Tudo o que é necessário é um site comprometido — uma tarefa suficientemente simples —, uma sobreposição de CAPTCHA falsa e a inclusão de um único comando de terminal.

Tantos visitantes são enganados a colar e executar o comando que praticamente todos os distribuidores de malware adotaram a técnica. Até grupos de piratagem apoiados pelo Kremlin se estão a juntar à iniciativa. "O Reddit está a transformar-se em publicação após publicação após publicação de pessoas a ficarem com o computador infetado através do ClickFix", observou na quinta-feira o investigador independente Kevin Beaumont. "Sites legítimos em todo o lado [estão] a ser hackeados para apresentar os falsos avisos de captcha."

Os utilizadores de Internet mais experientes — um número razoável dos que leem este site — despacham rapidamente o ataque. Tipicamente, culpam as pessoas que caem nos esquemas e maravilham-se com a sua credulidade e falta de atenção. A realidade é que, para os utilizadores mais casuais, utilizar computadores e a Internet tornou-se tão difícil — pensemos em intersticiais impossíveis de fechar, CAPTCHAs com uma série interminável de imagens para analisar e interfaces em constante mudança que ocultam as funcionalidades que procuram —, que se tornaram dessensibilizados a instruções que parecem ridículas e onerosas.

Os atacantes do ClickFix estão a capitalizar esta fadiga. Tipicamente, os ataques começam com uma imagem de CAPTCHA simples, mascarando-se frequentemente de uma proveniente da Cloudflare. Após interagir com a caixa, o utilizador vê uma linha de texto, frequentemente obscurecida de forma a mascarar quaisquer comandos maliciosos.

Depois, o utilizador recebe instruções para copiar o texto e colá-lo no Executar do Windows, PowerShell ou terminal do macOS e clicar em Enter. As instruções provêm de sites que as pessoas utilizam há anos. As orientações não parecem mais suspeitas do que as coisas que foram obrigadas a fazer durante uma década.

Porque é que alguém sem um conhecimento sólido de segurança informática teria qualquer razão para hesitar? Para as pessoas por trás dos ataques, o ClickFix torna o seu trabalho muito mais fácil.

Uma forma anterior que os responsáveis pela instalação de malware utilizavam, rastreada como Lorem Ipsum, disse recentemente a empresa de segurança BlueVoyant, exigia infraestruturas que consumiam muitos recursos, incluindo portais de transferência manipulados por SEO e com anúncios maliciosos, certificados de assinatura fidedignos da Microsoft e domínios continuamente rotodados para fornecer pacotes do Microsoft Installer.

"A transição para o ClickFix no final de maio de 2026 elimina totalmente o requisito de assinatura de código, substituindo a legitimidade de um instalador validamente assinado por uma forma diferente de legitimidade: um utilizador a executar voluntariamente o comando malicioso no seu próprio terminal", afirmou a BlueVoyant. "Embora o modelo ClickFix alargue o grupo de vítimas de utilizadores que procuram especificamente o Microsoft Teams a qualquer pessoa que navegue num site comprometido..."

A situação para os utilizadores do macOS não é melhor. Tanto a empresa de segurança para Mac Jamf como um investigador documentaram variantes do ClickFix para macOS que conseguem contornar as proteções do Gatekeeper.

Os atacantes do ClickFix continuam a encontrar novas formas de utilizar serviços públicos — incluindo documentos do Google Sheets publicados publicamente, de acordo com a Cisco Talos. Outros atacantes, incluindo o grupo Sandworm patrocinado pelo Estado russo, estão a alojar a sua infraestrutura de controlo em contratos inteligentes baseados na cadeia de blocos (blockchain).

A empresa de segurança Netskope encontrou recentemente outra campanha que utilizou a mesma abordagem. A empresa de segurança contou 5.400 sites a emitir sinais para a mesma, uma indicação do alcance e âmbito dessa campanha.

À medida que os fabricantes de sistemas operativo e os defensores constroem novas defesas, os atacantes continuam a encontrar formas documentadas de as contornar. O resultado final de tudo isto é que o ClickFix é um meio altamente eficaz e eficiente de propagação de todo o tipo de malware.

Ele não vai desaparecer, e culpar ou envergonhar as vítimas apenas piora o problema. Há um número razoável de 'plugins', produtos autónomos e defesas integradas que foram concebidos para enfraquecer o sucesso dos ataques ClickFix.

Por exemplo, o BlockBlock, o software que monitoriza os Macs em busca de processos que tentam instalar-se permanentemente, pode bloquear os ataques ClickFix assim que um utilizador prime as teclas ⌘+V. O uBlock foi atualizado para fazer algo semelhante.

Além dessas correções, aqueles de nós com mais treino em segurança devem criar conscienciavação junto dos nossos vizinhos, familiares e amigos com menos experiência. A adoção em massa do ClickFix demonstra o seu sucesso, e este não vai desaparecer tão cedo.