ClickFix: a tática de "clique para corrigir" que faz a própria vítima executar o ataque
A Group-IB detalha o ClickFix, técnica de engenharia social que exibe um pop-up de falsa verificação — reCAPTCHA ou proteção Cloudflare — instruindo a vítima a apertar Windows+R e colar um comando que, sem ela perceber, já foi copiado automaticamente para a área de transferência pelo próprio site malicioso. O comando executa PowerShell ofuscado via mshta.exe, entregando principalmente o infostealer Lumma C2, focado em carteiras cripto e extensões de autenticação em dois fatores salvas no navegador, além de ferramentas de acesso remoto como DarkGate.
O que diferencia o ClickFix da maioria das técnicas de infecção é que ele dispensa exploit, anexo malicioso ou download direto: a vítima é convencida a executar o ataque com as próprias mãos. Tudo começa com um pop-up que imita uma verificação familiar — um desafio "não sou um robô" ou uma tela de proteção da Cloudflare — pedindo que o usuário clique em um botão como "Fix It". Esse clique dispara um JavaScript que copia silenciosamente um comando malicioso para a área de transferência do sistema, usando uma função padrão do navegador (document.execCommand('copy')), sem qualquer aviso visível.
Em seguida, a própria página instrui a vítima, passo a passo, a abrir a caixa Executar do Windows com a combinação Win+R, colar o conteúdo com Ctrl+V e apertar Enter — completando manualmente uma ação que um exploit tradicional precisaria automatizar. O comando colado costuma invocar o mshta.exe para rodar JavaScript embutido, ou disparar diretamente um PowerShell com o parâmetro "-eC" (encoded command), com o payload real ofuscado em Base64 ou decodificado dinamicamente via técnicas como String.fromCharCode(), dificultando a detecção por simples inspeção visual do comando.
O efeito psicológico é o que torna a técnica tão eficaz: a vítima acredita estar resolvendo um problema técnico legítimo e comum, e por isso raramente desconfia mesmo diante de um passo tão incomum quanto "copiar e colar um comando no Executar". Segundo a Group-IB, o payload mais distribuído por essa via é o infostealer Lumma C2, direcionado especificamente a carteiras de criptomoeda e a extensões de autenticação em duas etapas salvas em navegadores baseados em Chromium e Firefox — ou seja, o alvo final costuma ser fraude financeira direta, não apenas coleta genérica de dados. Outros payloads observados incluem o DarkGate, ferramenta de acesso remoto, e downloaders ofuscados como o SMOKESABER.
O ponto mais importante para reconhecer o golpe é lembrar que nenhum site legítimo, captcha ou verificação de segurança jamais pede para copiar e colar comandos na caixa Executar do Windows — esse padrão de instrução é, por si só, a assinatura do ataque. Do lado técnico, equipes de segurança podem bloquear a execução de mshta.exe para conexões de rede, restringir PowerShell via política de grupo, monitorar atividade incomum de área de transferência e caçar por strings características do kit, como "reCAPTCHA Verification ID", em ferramentas como o URLScan.io.