Golpe ClickFix usa Cloudflare falso para roubar senhas

Uma campanha ativa de ClickFix está comprometendo sites legítimos de empresas ucranianas para injetar páginas falsas de verificação da Cloudflare. O objetivo é enganar visitantes e fazê-los baixar um malware inédito chamado Psychedelic Stealer. A descoberta foi feita pela Arctic Wolf Labs e divulgada pelo The Hacker News.

O ataque funciona assim: ao acessar um site infectado, a vítima vê uma suposta verificação de segurança da Cloudflare. A página instrui o usuário a copiar um comando do Windows Installer para a área de transferência e colá-lo na caixa de diálogo “Executar” do Windows. Se a vítima obedecer, um instalador MSI malicioso é baixado e o malware é instalado silenciosamente.

Esse tipo de engenharia social explora a confiança em marcas conhecidas e a pressa do usuário. O comando é apresentado como uma etapa necessária para continuar navegando, mas na verdade é a porta de entrada para o roubo de dados.

Como o Psychedelic Stealer age no sistema

O Psychedelic Stealer é um ladrão de informações focado em credenciais, tokens e carteiras de criptomoedas. Ele coleta dados de navegadores baseados em Chromium, como Chrome, Edge, Brave, Opera e Vivaldi, além de extensões de carteiras como MetaMask, Trust Wallet e OKX Wallet.

Além disso, o malware estabelece persistência por meio de tarefas agendadas e se comunica com um servidor de comando e controle (C2) para receber novas instruções. Isso permite que os atacantes ampliem o ataque, instalando outros payloads como keyloggers ou ransomware.

Os pesquisadores identificaram um painel de gerenciamento de iscas chamado РУБЛЁВКА TDS, que registra visualizações, cliques e conclusões do golpe. Em pouco tempo, o painel já contabilizava 557 visualizações, 426 cliques e 79 execuções completas, com a maioria das vítimas na Ucrânia.

Por que esse golpe é tão perigoso?

O ClickFix se aproveita de sites legítimos que foram invadidos. Isso significa que a vítima pode estar navegando em um site de confiança e, de repente, se deparar com uma página falsa de verificação. A credibilidade do domínio comprometido aumenta a chance de sucesso do golpe.

Além disso, o malware não depende de vulnerabilidades complexas. Ele usa a interação humana – o ato de copiar e colar um comando – para contornar defesas automatizadas. Muitos usuários não desconfiam de instruções que parecem vir de um serviço legítimo.

Phishing e ClickFix: duas faces da mesma moeda

O golpe ClickFix é uma variação sofisticada de phishing. Enquanto o phishing tradicional usa e-mails falsos para levar a sites clonados, o ClickFix usa sites comprometidos e comandos maliciosos para induzir a instalação de malware. Ambos exploram a confiança e a falta de atenção.

No cotidiano, o phishing continua sendo uma das ameaças mais comuns. E-mails falsos de bancos, serviços de streaming ou até mesmo de colegas de trabalho tentam roubar senhas ou instalar malware. A recomendação é sempre verificar o remetente, desconfiar de urgência e nunca clicar em links suspeitos.

No caso do ClickFix, a lição é clara: nenhum serviço legítimo pede para você colar comandos no Windows Run. Se uma página solicitar isso, é quase certamente uma armadilha.

Sinais de que você pode estar em um site comprometido

• Aparecimento repentino de uma verificação de Cloudflare ou similar, especialmente se você já havia acessado o site antes sem isso.
• Instruções para copiar e colar comandos no Windows Run ou PowerShell.
• Solicitação para baixar arquivos .msi ou .exe de fontes não oficiais.
• Comportamento estranho do navegador, como redirecionamentos ou pop-ups inesperados.
• Alto uso de CPU ou rede após seguir instruções suspeitas.

Se você identificar qualquer um desses sinais, feche o navegador imediatamente e execute uma varredura completa com um antivírus confiável.

O que fazer agora para se proteger

A defesa contra o ClickFix e ameaças semelhantes exige ação imediata. Aqui estão as medidas essenciais:

1. Nunca cole comandos desconhecidos. Desconfie de qualquer instrução que peça para executar algo no Windows Run ou terminal. Serviços legítimos não fazem isso.

2. Mantenha o sistema e o navegador atualizados. Correções de segurança fecham brechas que podem ser exploradas por malware.

3. Use autenticação de dois fatores (2FA). Mesmo que suas senhas sejam roubadas, a segunda camada de proteção pode impedir o acesso indevido.

4. Monitore suas contas regularmente. Verifique atividades suspeitas em e-mails, redes sociais e serviços financeiros.

5. Considere um serviço de monitoramento de vazamentos. Saber se suas credenciais já foram expostas é o primeiro passo para agir antes que os criminosos usem esses dados contra você.

Na Kzarka, você pode verificar gratuitamente se seus dados vazaram em incidentes conhecidos. Nossa plataforma monitora continuamente a dark web e outras fontes para alertar sobre exposições de e-mail, senhas e documentos pessoais.

Perguntas Frequentes (FAQ)

O que é o golpe ClickFix?

É uma técnica de engenharia social que usa sites comprometidos para exibir páginas falsas de verificação (como Cloudflare) e induzir a vítima a copiar e colar comandos maliciosos no Windows Run, levando à instalação de malware.

Como saber se um site foi comprometido por ClickFix?

Se você notar uma verificação de segurança repentina, instruções para executar comandos ou downloads inesperados de arquivos .msi ou .exe, é um forte indício. Feche o site imediatamente e não siga as instruções.

O Psychedelic Stealer rouba apenas senhas?

Não. Ele também rouba tokens de sessão, dados de carteiras de criptomoedas (extensões e aplicativos) e informações do sistema. Além disso, pode receber comandos para baixar outros malwares.

Posso ser infectado apenas visitando o site, sem clicar em nada?

Não. O ClickFix exige que a vítima copie e cole um comando manualmente. Se você não executar a ação, o malware não será instalado. Mas evite permanecer em sites suspeitos.

Como o phishing se relaciona com o ClickFix?

Ambos são formas de engenharia social. O phishing usa e-mails falsos para direcionar a sites clonados, enquanto o ClickFix usa sites legítimos comprometidos para induzir a execução de comandos. A defesa é a mesma: desconfiança e verificação.

O que devo fazer se já colei o comando e fui infectado?

Desconecte o computador da internet, altere todas as senhas em outro dispositivo, ative 2FA e execute uma varredura completa com antivírus. Considere formatar o sistema se houver suspeita de comprometimento profundo. Depois, monitore suas contas e verifique se seus dados vazaram na Kzarka.

Fique atento. A ameaça é real e está em evolução. A melhor defesa é a prevenção e a informação. Monitore sua identidade digital com a Kzarka e aja antes que os criminosos usem seus dados contra você.