ClickFix e TerminalFix: como barrar ataques de CAPTCHA falso

A maioria dos programas de segurança parte de duas premissas: o atacante entrega malware como arquivo ou explora uma vulnerabilidade sem patch. O ClickFix quebra as duas. O comando é digitado por um colaborador legítimo, com a própria conta, usando ferramentas nativas do Windows. Para muitos produtos de segurança, isso parece um administrador fazendo o seu trabalho.

Por isso a técnica se espalhou tão rápido. Segundo pesquisadores, as iscas de ClickFix costumam ficar hospedadas em sites legítimos comprometidos com credenciais roubadas por malware infostealer. Cada nova vítima pode alimentar a próxima onda. CAPTCHAs falsos que imitam as páginas de verificação da Cloudflare são especialmente convincentes, porque os colaboradores veem os verdadeiros todos os dias.

O TerminalFix eleva o risco de três formas:

• Cargas maiores. Como o Windows Terminal e o PowerShell processam scripts longos de várias linhas, o atacante consegue entregar uma cadeia completa de carregamento em uma única colagem.
• Persistência. A Microsoft descreveu uma cadeia que grava um arquivo ZIP em C:\ProgramData e inicia um carregador identificado como AxolotLoader (também conhecido como LoremIpsumLoader).
• Acesso à rede, não só ao dispositivo. O BSI relatou que os atacantes instalaram um runtime Python e abriram um túnel reverso TLS/WebSocket pela porta 443. Esse tráfego se mistura ao HTTPS normal e dá ao atacante um acesso tipo proxy à rede interna para movimentação lateral.

A partir daí, o roteiro é conhecido: roubar credenciais, mover-se lateralmente, exfiltrar dados e implantar ransomware para dupla extorsão. O BSI confirmou que os atacantes tentaram exatamente isso. Organizações que tratam uma infecção por ClickFix como "um notebook para formatar" correm o risco de ignorar um invasor que já está dentro.

Entender a cadeia de ataque é a forma mais rápida de descobrir onde interrompê-la. Uma intrusão típica de TerminalFix segue seis etapas:

1. Isca. A vítima acessa um site comprometido ou malicioso, muitas vezes a partir de resultados de busca, anúncios maliciosos ou um link em e-mail ou chat.
2. Verificação falsa. Uma sobreposição convincente, frequentemente imitando um CAPTCHA da Cloudflare, diz que o visitante precisa "confirmar que é humano". Em segundo plano, um JavaScript copia silenciosamente um comando malicioso para a área de transferência.
3. A colagem. As instruções pedem para abrir o Windows Terminal ou o PowerShell (por exemplo, com Win+X), colar com Ctrl+V e pressionar Enter. No macOS, algumas variantes pedem para colar no Terminal.
4. Execução oculta. O comando dispara um script oculto de PowerShell que baixa um arquivo da infraestrutura do atacante, extrai o conteúdo e inicia o carregador. Algumas campanhas escondem código dentro de imagens ou abusam de DLL sideloading para evitar detecção.
5. Túnel reverso. Um componente em Python abre um túnel criptografado pela porta 443 até o atacante, criando um ponto de apoio dentro da rede corporativa.
6. Movimentação lateral e extorsão. Os atacantes coletam credenciais, avançam em direção a servidores e backups, roubam dados e tentam implantar ransomware.

Como impedir? Cada etapa oferece um ponto de controle:

• Hardening de endpoints: usar regras de redução da superfície de ataque (ASR) ou controles equivalentes para restringir a execução de scripts, ativar o log de blocos de script do PowerShell e considerar o modo de linguagem restrita para usuários comuns.
• Detecção comportamental: alertar sobre cadeias de processos navegador→PowerShell e navegador→Windows Terminal, o principal ponto de detecção apontado para esta campanha.
• Visibilidade de rede: sinalizar sessões de saída TLS ou WebSocket incomumente longas partindo de estações de trabalho. Gateways web seguros e filtragem na conectividade SD-WAN e SASE gerenciada podem bloquear domínios maliciosos conhecidos antes mesmo de a isca carregar.
• Conscientização: ensinar a todos uma única regra: um CAPTCHA de verdade nunca pede para você colar nada em uma janela de comandos.

O ClickFix não é apenas uma ameaça técnica; é um risco de negócio. Uma intrusão bem-sucedida pode significar indisponibilidade por ransomware, exposição regulatória sob leis de proteção de dados como a LGPD e danos à reputação que duram muito mais do que a interrupção. Uma defesa em camadas entrega valor mensurável:

• Menor probabilidade de violação. Bloquear a execução de scripts para usuários que não precisam dela elimina a ferramenta favorita do atacante. A maioria dos colaboradores nunca precisa executar o PowerShell.
• Contenção mais rápida. Detecção comportamental e monitoramento 24x7 reduzem o tempo entre a colagem e a resposta de dias para minutos, antes que a movimentação lateral alcance os servidores.
• Menor raio de impacto. Segmentação de rede e políticas de acesso zero trust impedem que um notebook comprometido alcance tudo. Por isso, um host infectado deve disparar uma revisão de credenciais e de movimentação lateral, e não apenas uma formatação.
• Um firewall humano mais forte. Treinamentos específicos sobre CAPTCHAs falsos fecham uma lacuna que os cursos tradicionais de phishing raramente cobrem, já que não há link nem anexo no sentido clássico.
• Prontidão para auditorias. Controles documentados, logs e procedimentos de resposta a incidentes apoiam a conformidade com frameworks como ISO 27001, NIST CSF e as exigências de seguros cibernéticos.

Por que as empresas precisam de uma abordagem gerenciada? Poucas equipes internas de TI conseguem acompanhar a telemetria dos endpoints 24 horas por dia, ajustar regras de detecção à medida que as variantes evoluem (o ClickFix já migrou da caixa Executar para o Terminal e, no macOS, para o AppleScript) e ainda manter a operação do dia a dia. Combinar serviços de TI gerenciados para hardening de políticas e patches com um SOC que caça ameaças ativas garante proteção de nível corporativo sem precisar construir tudo internamente.

Há mais de 30 anos, a HIT Communications ajuda empresas da América Latina, dos Estados Unidos e da Europa a proteger suas redes e comunicações. Nossa abordagem contra ataques do tipo ClickFix combina pessoas, processos e tecnologia:

• SOC, SIEM e MDR gerenciados. Nossos serviços de cibersegurança oferecem monitoramento 24x7 que correlaciona sinais de endpoints, rede e identidade. Cadeias suspeitas, como um navegador abrindo o PowerShell ou uma estação de trabalho mantendo um túnel de saída incomum, são investigadas e contidas por analistas em tempo real.
• Hardening de endpoints e políticas. Por meio dos nossos serviços de TI gerenciados, implantamos e mantemos restrições de execução de scripts, logs, políticas de privilégio mínimo e backups que o ransomware não consegue alcançar.
• Conectividade segura. Com SD-WAN, SASE e conectividade multioperadora, aplicamos filtragem DNS e web, segmentação e acesso zero trust em cada unidade, para que um único dispositivo comprometido não consiga circular pela rede.
• Conscientização em segurança. Ajudamos suas equipes a reconhecer CAPTCHAs falsos, pop-ups de erro fraudulentos e iscas por voz ou chat que levam o usuário a "rodar uma correção rápida".

Como a HIT opera a rede, a plataforma de segurança e os serviços de TI de forma integrada, os alertas não se perdem entre fornecedores. Uma única equipe enxerga a cadeia completa, da página que entregou a isca até o túnel que tentou sair da sua rede, e age sobre ela.

ClickFix e TerminalFix mostram como os atacantes operam em 2026: eles não arrombam a porta, pedem para que você a abra. Um CAPTCHA falso e uma única colagem bastaram para comprometer uma instituição estatal alemã e, segundo a imprensa, abrir caminho para um dos ataques de ransomware mais visíveis do ano contra uma administração pública.

A boa notícia é que essa cadeia de ataque tem pontos de ruptura claros. Organizações que restringem a execução de scripts, monitoram o comportamento navegador→console, acompanham túneis de saída e treinam os colaboradores sobre essa isca específica conseguem deter o TerminalFix muito antes de ele virar um incidente de ransomware.

Três ações para esta semana:

1. Avise cada colaborador: nenhum site legítimo vai pedir para você colar um comando no Windows Terminal, no PowerShell ou na caixa Executar.
2. Revise se os usuários comuns realmente precisam do PowerShell e ative o log de blocos de script em todos os equipamentos.
3. Confirme que alguém monitora seus endpoints e sua rede 24x7, e que um notebook infectado dispara uma investigação completa, não apenas uma formatação.

Não tem certeza se suas defesas detectariam uma intrusão de TerminalFix? Fale com a HIT Communications para uma avaliação de segurança e descubra como nosso SOC gerenciado, nossos serviços de TI e nossa conectividade segura podem proteger sua organização.