ClickFix evolui e reforça técnicas de engenharia social para enganar utilizadores

Os investigadores da Push Security identificaram uma nova vaga de ataques ClickFix que combina técnicas de engenharia social com automatização. As páginas maliciosas apresentam um vídeo passo a passo, um cronómetro que pressiona o utilizador e scripts que copiam o código diretamente para a área de transferência, de modo a eliminar dúvidas e acelerar a autoinfeção.

O utilizador chega a uma página que parece legítima, normalmente uma falsa verificação da Cloudflare ou uma ferramenta de diagnóstico, e o site identifica o sistema operativo, carrega um vídeo com instruções visuais e inicia um cronómetro de 60 segundos. A ideia é criar urgência ao utilizador e impedi-lo de pensar antes de agir. Ao mesmo tempo, um JavaScript copia automaticamente o comando malicioso para a área de transferência, pronto a ser colado no terminal. A vítima acredita estar a resolver um problema ou a validar a identidade, mas está, na verdade, a executar o código do atacante.

A título de exemplo, para tornar o esquema mais credível, a página inclui ainda um counter de “utilizadores verificados na última hora”. Esses elementos visuais reforçam a aparência de autenticidade e exploram o instinto de confiança e pressa que muitos utilizadores mantêm perante janelas de verificação.

As campanhas mais recentes do ClickFix têm sido promovidas através de malvertising em resultados de pesquisa do Google. Os atacantes exploram falhas conhecidas em plugins desatualizados do WordPress para comprometer sites legítimos e injetar o seu JavaScript nas páginas. Além disso, recorrem a técnicas de SEO poisoning para garantir que as páginas fraudulentas aparecem entre os primeiros resultados.

As cargas úteis variam consoante o sistema operativo, por exemplo, no Windows, incluem o executável MSHTA e scripts PowerShell; já no macOS e Linux, são utilizados outros binários e scripts adaptados. Os investigadores admitem que, se a tendência continuar, o ClickFix pode vir a operar inteiramente dentro do navegador, escapando aos sistemas de deteção baseados em ficheiros, como as soluções EDR.

A Push Security não avança números concretos sobre o número de páginas ou vítimas, mas os vetores de distribuição, a Google e o WordPress, são globais. Isso significa que as campanhas atingem utilizadores e empresas na Europa com a mesma facilidade que noutros mercados