ClickFix torna-se principal vetor de malware

A técnica de engenharia social ClickFix tornou-se o principal método utilizado por cibercriminosos para distribuir malware, segundo uma análise da ReliaQuest baseada em ataques registados entre 1 de março e 31 de maio de 2026.

Ao contrário de campanhas que exploram vulnerabilidades técnicas, o ClickFix recorre à manipulação dos utilizadores para que sejam eles próprios a executar comandos maliciosos. Como a ação é iniciada manualmente pela vítima, muitos mecanismos de proteção interpretam-na como uma atividade legítima, dificultando a deteção.

Um dos métodos mais utilizados consiste na apresentação de páginas Captcha falsas em websites comprometidos. Sob o pretexto de verificar que o utilizador é humano, a página solicita que seja copiado e executado um comando que descarrega e instala malware no sistema. Em ambientes Windows, esta técnica tem sido utilizada para distribuir várias famílias de malware, incluindo o Deepload.

A ReliaQuest identificou também, pela primeira vez, campanhas ClickFix dirigidas a sistemas macOS, utilizadas para distribuir o Atomic Stealer (AMOS). Em vez de recorrer ao Terminal, os atacantes passaram a explorar o Script Editor, depois de a Apple ter introduzido um mecanismo de proteção que analisa comandos colados no Terminal antes da sua execução.

O AMOS é um infostealer concebido para roubar credenciais armazenadas nos browsers, cookies de sessão, carteiras de criptomoedas e informação do Keychain do macOS.

Perante esta evolução, a ReliaQuest recomenda que as organizações deixem de considerar o macOS uma plataforma de menor risco e adotem o mesmo nível de monitorização e resposta aplicado aos sistemas Windows.

Entre as medidas de mitigação propostas estão ações de sensibilização para impedir que os utilizadores executem comandos em janelas como Run, Terminal ou Script Editor, bem como a realização de simulações de ataques ClickFix. A empresa aconselha ainda a restringir a execução de aplicações potencialmente maliciosas e o acesso a websites e publicidade considerados suspeitos.