Ataques ClickFix se espalham e já infectam PCs e Macs com a mesma tática

O funcionamento segue sempre a mesma lógica: a vítima abre uma página comprometida ou falsa e se depara com uma janela de erro — pode ser um falso CAPTCHA, um aviso de que o vídeo não carregou, uma mensagem do Google Meet ou um alerta de sistema. A suposta solução é copiar um comando e colá-lo no terminal do computador (PowerShell e a janela "Executar" no Windows, ou o Terminal no macOS) para "corrigir" o problema.

De acordo com a Proofpoint, o comando exibido costuma estar disfarçado com codificação (como Hex e Base64) para escapar de antivírus, e ao ser executado baixa e roda o malware diretamente na memória do computador, sem deixar arquivos óbvios no disco. A Recorded Future, empresa de inteligência de ameaças, descreve o processo em quatro etapas: entrada de comando codificada, execução por um shell legítimo do próprio sistema, contato com um servidor controlado pelos criminosos e execução do malware sem gravação em disco, o que dificulta a detecção.

Quem está na mira

Os números indicam crescimento acelerado. Um relatório da Proofpoint apontou alta de cerca de 400% nos links de phishing ligados a campanhas ClickFix no intervalo de 12 meses encerrado em meados de 2025. Já a fabricante de antivírus ESET registrou aumento de 517% nesse tipo de campanha no primeiro semestre de 2025 em comparação ao semestre anterior, tornando o ClickFix o segundo vetor de ataque mais comum, atrás apenas do phishing tradicional.

A Microsoft, em seu relatório de defesa digital, foi além: afirmou que o ClickFix já é responsável por 47% das intrusões que a empresa rastreia, superando o phishing convencional, que soma 35%.

Inicialmente restrito a máquinas Windows, já que dependia do PowerShell e da caixa "Executar", o golpe foi adaptado para o macOS. A Recorded Future documentou pelo menos cinco clusters de campanhas ativas usando iscas como falsos aplicativos do QuickBooks, páginas fraudulentas do Booking.com e do serviço de avaliações Birdeye, com mais de 40 domínios distintos identificados apenas no cluster que se passava pelo Birdeye.

Entre os malwares distribuídos por essas campanhas estão o Lumma Stealer, apontado pela Microsoft como o payload mais usado em ataques ClickFix, além de NetSupport RAT, DarkGate, Latrodectus, AsyncRAT e DanaBot no Windows. No macOS, os destaques são o Atomic macOS Stealer (AMOS) e o Macsync, voltados ao roubo de dados do Keychain, credenciais de navegador e carteiras de criptomoedas. Segundo a Microsoft, esses infostealers chegam a substituir aplicativos legítimos de carteiras cripto, como Trezor Suite, Ledger Live e Exodus, por versões falsificadas.

A Apple já reagiu: em março de 2026, a empresa incluiu uma mitigação no macOS para dificultar esse tipo de ataque, mas pesquisadores documentaram em seguida uma variante que contorna a barreira usando um esquema de URL do tipo applescript:// para evitar a abertura direta do Terminal.

Como se proteger

• Nunca copie e cole comandos de terminal, PowerShell ou da janela "Executar" do Windows a pedido de um site, mesmo que a mensagem pareça urgente ou aparente ser uma verificação de segurança.
• Desconfie de qualquer página que peça para "corrigir um erro" digitando um atalho de teclado seguido de colar e executar algo, esse é exatamente o roteiro do golpe.
• Mantenha antivírus e ferramentas de proteção de endpoint atualizados, já que parte da detecção depende de identificar o comportamento do script no momento da execução.
• Em ambientes corporativos, a Recorded Future recomenda restringir o uso do PowerShell e desabilitar a caixa "Executar" do Windows via política de grupo, além de restringir o Terminal no macOS por gerenciamento de dispositivos (MDM).
• Se você colou e executou um comando suspeito, desconecte o computador da internet, rode uma varredura completa de antivírus e troque as senhas de contas sensíveis a partir de outro dispositivo.