Ataques ClickFix e o falso CAPTCHA em que a sua equipa vai confiar

Um site comprometido mostra o que parece um CAPTCHA normal. Para se "verificar", pede-se à pessoa que copie uma linha de texto e a cole no Executar do Windows, no PowerShell, ou no terminal do macOS. Se alguém da sua equipa o fizer, a máquina fica infetada. Segundo a Ars Technica, esta técnica — chamada ClickFix — deixou de ser uma raridade e tornou-se uma das formas mais comuns de o malware chegar tanto a PCs como a Macs.

Como o ataque funciona na prática

Não há nenhum exploit sofisticado envolvido. O atacante precisa de três coisas: um site que já comprometeu, uma sobreposição de CAPTCHA falsa e um comando de terminal. A vítima faz o resto.

A sobreposição imita muitas vezes uma verificação da Cloudflare, em que a maioria das pessoas já clicou centenas de vezes. Depois de o utilizador interagir com ela, aparece uma linha de texto, normalmente ofuscada para que a parte maliciosa seja difícil de ler. A instrução é copiá-la, colá-la na caixa Executar ou num terminal, e premir Enter.

O que faz isto funcionar é o contexto. Estes avisos aparecem em sites comuns que as pessoas usam há anos, não em cantos obscuros da internet. O investigador independente Kevin Beaumont descreveu o Reddit a encher-se de publicações de utilizadores infetados, e sites legítimos a serem hackeados para servir estes avisos falsos.

A empresa de segurança BlueVoyant explicou por que os atacantes gostam disto: antes precisavam de infraestrutura pesada — resultados de pesquisa manipulados, anúncios maliciosos, instaladores assinados, domínios rotativos. O ClickFix elimina tudo isso. Em vez de um instalador validamente assinado a fornecer uma falsa legitimidade, é a própria decisão do utilizador de correr o comando que a fornece. E, em vez de visar pessoas que procuram um software específico, o ataque atinge qualquer pessoa que caia numa página comprometida.

Os Macs não estão a salvo aqui. A Jamf e um investigador independente já documentaram versões para macOS que contornam o Gatekeeper. Os atacantes também escondem a sua infraestrutura em locais difíceis de bloquear, incluindo documentos publicados do Google Sheets, segundo a Cisco Talos, e contratos inteligentes baseados em blockchain. A Netskope contou 5.400 sites a comunicar com uma dessas campanhas.

Porque importa para uma pequena empresa

Grande parte do pensamento de segurança nas pequenas empresas assume que os ataques chegam como anexos de e-mail ou downloads suspeitos. O ClickFix não. Chega durante a navegação normal, num site em que o funcionário confia, e pede algo que parece apenas mais um passo aborrecido de verificação.

Esse é o ponto central do artigo da Ars Technica: os utilizadores comuns foram treinados por anos de interstitials, infinitos CAPTCHAs de imagens e interfaces em constante mudança para aceitarem instruções absurdas sem questionar. Culpar a equipa por ser ingénua não ajuda e não reduz as infeções.

Para uma empresa, um portátil infetado pode significar sessões de navegador roubadas, palavras-passe guardadas, acesso ao seu CRM, ao seu sistema de contabilidade, às suas contas de mensagens, e a quaisquer dados de clientes que estejam nessa máquina. A pessoa com maior probabilidade de ser atingida não é o seu programador. É o comercial ou o contabilista que navega amplamente e não tem razão nenhuma para saber o que é o PowerShell.

O que fazer já este mês

• Ensine uma regra, não um curso. Nenhum site, alguma vez, tem uma razão legítima para pedir que cole um comando no Executar do Windows, no PowerShell, ou no terminal do Mac. Se uma página pedir isso, feche o separador e avise o suporte técnico. Esta única frase cobre todo o padrão do ataque.
• Nomeie as teclas. Diga-o claramente na comunicação à equipa: se algo lhe disser para premir Win+R, ou abrir o Terminal, ou colar seja o que for depois de um CAPTCHA, pare. As pessoas retêm melhor instruções concretas do que avisos abstratos.
• Torne o reporte seguro. Diga à sua equipa que, se já colaram algo, devem dizê-lo imediatamente e não serão culpabilizados. A vergonha atrasa o reporte, e é o atraso que transforma uma infeção numa propagação.
• Use as ferramentas que já existem. O artigo aponta defesas como o uBlock, que foi atualizado para contrariar este padrão, e o BlockBlock no macOS, que pode intervir assim que o utilizador prime ⌘+V. São ferramentas rombas, não curas, mas encarecem o ataque para quem o executa.
• Verifique a que um só portátil consegue chegar. Assuma que uma máquina de trabalho fica comprometida. A que sistemas está permanentemente ligada? Onde tem direitos de administrador? Reduzir isto limita os danos de qualquer infeção, não só desta.

O ClickFix não vai desaparecer, porque é barato e funciona. Não há correção possível, já que nada está a ser explorado além da disponibilidade de uma pessoa para seguir instruções. A resposta é igualmente simples e humana: garantir que toda a gente na sua equipa sabe que um site a pedir para correr um comando é, sem exceção, um ataque.