Evolução das técnicas do ClickFix
A técnica ClickFix tornou-se um dos métodos de ataque cibernético mais difundidos desde o seu surgimento em 2024, tendo evoluído para abranger uma ampla família de submétodos, como FileFix, InstallFix e TerminalFix. De acordo com dados da Push Security, esses ataques responderam por 67% do total de detecções de segurança até agosto de 2026, superando assim os métodos tradicionais de phishing, como o AiTM.
A inteligência artificial como ferramenta de atração
Atualmente, os invasores exploram o entusiasmo dos usuários por ferramentas de inteligência artificial generativa (GenAI) para lançar seus ataques. Essa estratégia baseia-se em dois fatos: o primeiro é o hábito dos funcionários de copiar comandos de instalação diretamente de páginas da web para a interface de linha de comando (Terminal); o segundo é a crescente dependência de motores de busca para acessar ferramentas de inteligência artificial em vez de visitar seus sites oficiais diretamente.
Mecanismos de ataque inovadores
- InstallFix: Os invasores criam páginas de instalação falsas que imitam ferramentas populares, como o Claude Code. Ao clicar no botão "Copiar", o comando de programação real é substituído por um malicioso que executa um script diretamente na memória, sem a necessidade de salvar arquivos no disco, dificultando a detecção.
- LLMshare: Exploração de recursos de compartilhamento em plataformas como ChatGPT e Claude. Os invasores criam conversas ou "Artifacts" contendo links maliciosos, conferindo-lhes alta confiabilidade devido ao fato de serem hospedados no domínio das plataformas oficiais.
- Custom GPTs: Utilização de modelos GPT personalizados que interagem com o usuário como se fossem um serviço de suporte técnico, direcionando-o no final para páginas externas que contêm cargas maliciosas (payloads).
Por que as defesas tradicionais falham?
Os ataques ClickFix conseguem burlar sistemas de segurança por vários motivos fundamentais:
- Bypass de gateways de e-mail: A maioria desses ataques começa por meio de motores de busca ou anúncios enganosos, longe da inspeção de e-mails.
- Uso de infraestrutura legítima: Os invasores dependem de sites confiáveis ou comprometidos e utilizam técnicas como EtherHiding para armazenar configurações de ataque em contratos inteligentes na blockchain, tornando impossível o desligamento dos servidores.
- Execução na memória: Como os comandos são executados em uma interface de linha de comando legítima, eles não acionam alertas de softwares antivírus tradicionais que buscam padrões específicos de operações suspeitas.
O que isso significa para os usuários?
Esses ataques provam que a conscientização de segurança tradicional não é mais suficiente. O usuário não está mais seguro apenas por estar em um site confiável ou por usar uma ferramenta de inteligência artificial conhecida. A prática de "copiar e colar" comandos de instalação da web representa uma vulnerabilidade de segurança crítica, uma vez que os invasores podem manipular o que o usuário realmente copia para a área de transferência do dispositivo (Clipboard), tornando a verificação dos comandos antes de sua execução uma necessidade técnica primordial.