Campanha ClickFix usa sites ucranianos legítimos para instalar o infostealer Psychedelic
Atacantes comprometeram seis sites empresariais ucranianos e injetaram um falso CAPTCHA da Cloudflare que induz a vítima a executar um comando malicioso via clipboard. O payload, batizado Psychedelic Stealer, rouba senhas de navegadores e carteiras de criptomoedas como Exodus e Electrum. A campanha, rastreada por um painel próprio de distribuição, já registrou centenas de cliques originados majoritariamente da Ucrânia.
A campanha identificada pela Security Affairs explora a técnica conhecida como ClickFix, que já se tornou uma das formas mais eficazes de entregar malware sem depender de anexos maliciosos ou exploração de vulnerabilidades de software. Em vez de atacar a infraestrutura técnica, os criminosos comprometeram sites legítimos e pouco monitorados — como uma clínica de tratamento capilar, uma livraria e um varejista automotivo — e injetaram iframes ocultos que exibem uma tela falsa de verificação da Cloudflare, completa com um "Ray ID" aleatório para parecer autêntica.
O golpe funciona explorando o hábito do usuário de resolver captchas sem questionar: ao clicar no botão de verificação, a página copia silenciosamente para a área de transferência do sistema um comando que invoca o utilitário legítimo do Windows msiexec.exe. O botão de confirmação permanece bloqueado por 35 segundos, tempo calculado para que a vítima, seguindo instruções na tela, cole e execute o comando manualmente no menu Executar ou PowerShell — driblando antivírus que monitoram anexos, mas não comandos digitados pelo próprio usuário. Como o processo nunca baixa um arquivo executável de forma óbvia e usa uma ferramenta nativa do Windows, muitas soluções de segurança de endpoint não sinalizam a ação a tempo.
Uma vez executado, o Psychedelic Stealer varre o sistema em busca de senhas salvas em Chrome, Edge, Brave, Opera, Vivaldi e Yandex, além de tokens de sessão de navegador e arquivos de carteiras de criptomoedas como Exodus, Atomic Wallet, Electrum e Bitcoin/Litecoin Core. Depois do roubo inicial, o malware ainda cria uma tarefa agendada de persistência que permite a execução remota de novos comandos e binários, transformando a máquina infectada em um ponto de apoio para fraudes futuras, como esvaziamento de carteiras ou revenda de credenciais.
Na prática, o principal sinal de alerta é qualquer tela de "verificação humana" que peça para copiar e colar um comando manualmente — nenhum CAPTCHA legítimo do Cloudflare ou de qualquer outro serviço exige essa ação. Empresas devem orientar equipes e usuários a nunca executar comandos fornecidos por páginas web, bloquear a execução de msiexec.exe e PowerShell a partir da área de transferência via políticas de segurança de endpoint (EDR/AppLocker), e monitorar tráfego de rede para os domínios e padrões de callback identificados na campanha. Para quem já foi vítima, a resposta imediata é trocar todas as senhas salvas no navegador a partir de um dispositivo limpo e migrar fundos de carteiras cripto expostas para uma carteira nova.