O golpe ClickFix mostra como os ataques de engenharia social estão mudando de estratégia. Em vez de depender exclusivamente de arquivos executáveis ou links claramente suspeitos, criminosos convencem a própria vítima a executar comandos no computador. O resultado é uma técnica especialmente perigosa porque a ação maliciosa parece, inicialmente, uma solução para um problema legítimo.
Duas campanhas recentes ajudam a ilustrar essa evolução: o WordlistLoader e o SynkLoader. Os malwares utilizam abordagens diferentes, mas têm um ponto em comum: exploram a confiança do usuário para conseguir executar código no Windows, roubar credenciais e abrir caminho para outras ameaças.
O WordlistLoader chama atenção pelo uso de falsos CAPTCHAs, enquanto o SynkLoader explora comunicações corporativas no Microsoft Teams, simulando contatos do suporte técnico. Em ambos os casos, a tecnologia é apenas parte do ataque. O principal alvo é o comportamento humano.
O golpe ClickFix e o funcionamento do WordlistLoader
O ClickFix é uma técnica de engenharia social na qual a vítima recebe instruções aparentemente inofensivas para corrigir um problema, validar sua identidade ou concluir uma verificação de segurança.
Uma das versões mais conhecidas utiliza um falso CAPTCHA. A página apresenta uma interface semelhante às verificações legítimas usadas para diferenciar humanos de robôs. Depois de clicar na suposta verificação, porém, o usuário recebe instruções para executar uma sequência de ações no próprio computador.
Em determinadas campanhas, a vítima é orientada a pressionar Win + R, abrir a caixa de diálogo Executar e colar um comando fornecido pela página. A mensagem pode alegar que essa etapa é necessária para confirmar que o navegador está sendo utilizado por uma pessoa real.
Esse é justamente o ponto crítico.
O comando não é uma simples validação. Ele pode iniciar uma cadeia de execução que baixa ou carrega componentes maliciosos. Como a ação parte do próprio usuário, algumas camadas de proteção podem ter mais dificuldade para identificar imediatamente o comportamento como uma invasão tradicional.
O WordlistLoader malware utiliza essa abordagem como porta de entrada para uma cadeia de infecção que pode terminar na instalação de um stealer, programa especializado em coletar informações sensíveis.
ClickFix, EtherHiding e o uso ilícito de CDNs
A sofisticação do ataque não termina na engenharia social. Uma das técnicas associadas a campanhas desse tipo é o EtherHiding, mecanismo que utiliza recursos de blockchain para esconder ou armazenar informações usadas na infraestrutura maliciosa.
Na prática, criminosos podem abusar de contratos inteligentes e de dados armazenados em redes blockchain para dificultar a identificação e o bloqueio da infraestrutura de comando. O conteúdo malicioso pode ser recuperado dinamicamente, tornando a operação mais resistente a bloqueios convencionais.
Outro elemento importante é o abuso de CDNs legítimas. Como esses serviços são utilizados normalmente por milhares de sites e aplicações, bloquear toda a infraestrutura pode causar impactos para usuários legítimos.
Essa combinação cria uma camada adicional de ocultação. O endereço acessado pela vítima pode parecer relacionado a um serviço legítimo, enquanto o conteúdo obtido posteriormente participa de uma cadeia controlada pelos criminosos.
Para administradores de sistemas, isso reforça uma preocupação importante: confiar apenas no domínio ou na reputação aparente de uma infraestrutura não é suficiente para determinar se uma ação é segura.
Do WordlistLoader ao Amatera Stealer
O nome WordlistLoader está relacionado à maneira como determinados componentes da campanha manipulam e ocultam o código necessário para continuar a infecção.
Em vez de apresentar diretamente um script claramente identificável, o conteúdo pode ser fragmentado ou disfarçado usando palavras e dados aparentemente comuns. A aplicação maliciosa reconstrói essas informações durante a execução, dificultando a análise superficial.
Depois dessa etapa, a cadeia pode chegar ao Amatera Stealer, uma ameaça especializada no roubo de informações.
Stealers desse tipo podem buscar senhas armazenadas em navegadores, cookies, tokens de autenticação, dados de carteiras digitais e outras informações sensíveis, dependendo da configuração e da versão utilizada pelos operadores.
Isso transforma um simples clique em uma possível porta de entrada para o comprometimento de várias contas. Uma credencial roubada também pode ser utilizada posteriormente em ataques contra empresas, serviços corporativos ou outros sistemas.
SynkLoader: phishing corporativo via Microsoft Teams
Enquanto o WordlistLoader explora páginas falsas e verificações CAPTCHA, o SynkLoader aposta em um cenário diferente: a comunicação corporativa.
O Microsoft Teams é amplamente utilizado para conversas entre funcionários, equipes de suporte e departamentos de tecnologia. Essa confiança cria uma oportunidade para criminosos se apresentarem como integrantes do suporte de TI.
A abordagem pode começar com uma mensagem aparentemente legítima. O atacante afirma que identificou um problema no computador ou que precisa realizar algum procedimento de manutenção.
A vítima então é orientada a instalar um programa, abrir um arquivo ou executar um instalador MSI.
O problema é que o instalador não oferece a manutenção prometida. Ele pode iniciar a cadeia de infecção do SynkLoader, permitindo que componentes adicionais sejam carregados no sistema.
Esse tipo de ataque é particularmente perigoso em ambientes corporativos porque explora um contexto plausível. Funcionários estão acostumados a receber mensagens do departamento de TI e, em muitos casos, têm motivos legítimos para instalar ferramentas administrativas.
PhishLocker e módulos de espionagem
Um dos elementos associados a essa cadeia é o PhishLocker, componente projetado para apresentar ao usuário interfaces que simulam telas legítimas do sistema.
Uma tela falsa de bloqueio ou autenticação pode induzir a vítima a fornecer sua senha do Windows ou outras credenciais. Para o usuário, a aparência pode transmitir a sensação de que o computador simplesmente exige uma nova autenticação.
Por trás da interface, entretanto, os dados podem ser enviados aos operadores da campanha.
A presença de módulos adicionais também amplia o risco. Dependendo da variante utilizada, componentes de malware podem permitir coleta de informações, controle remoto, persistência e instalação de outras cargas maliciosas.
Esse comportamento demonstra por que carregadores de malware são tão relevantes para o cenário atual de ameaças. Eles não precisam necessariamente executar todas as ações maliciosas sozinhos. Sua função pode ser preparar o sistema para receber ferramentas especializadas de roubo de informações ou acesso remoto.
Como o golpe ClickFix explora a confiança do usuário
O elemento mais importante dessas campanhas não é uma vulnerabilidade específica do Windows ou do Teams. É a engenharia social.
O criminoso cria uma situação na qual a ação perigosa parece razoável. Um CAPTCHA precisa ser concluído. Um problema precisa ser corrigido. O suporte técnico precisa instalar uma ferramenta.
A vítima, portanto, não percebe necessariamente que está executando malware.
Esse modelo também dificulta treinamentos tradicionais de segurança. Ensinar funcionários a não abrir anexos desconhecidos continua sendo importante, mas já não é suficiente. É necessário explicar que comandos aparentemente técnicos também podem ser usados como armas de engenharia social.
Como se proteger de ataques baseados em engenharia social
A primeira regra contra o golpe ClickFix é simples: nunca copie e cole comandos recebidos de uma página desconhecida na caixa de diálogo Win + R, PowerShell ou Prompt de Comando.
Um site legítimo dificilmente precisa convencer um visitante a executar manualmente um comando para provar que ele é humano.
Também é importante desconfiar de instruções que criam senso de urgência. Frases como “sua conta está bloqueada”, “o CAPTCHA falhou” ou “o suporte detectou um problema crítico” podem ser utilizadas para reduzir o tempo que a vítima tem para pensar.
No Microsoft Teams, mensagens de supostos profissionais de suporte devem ser verificadas por outro canal. Em caso de dúvida, procure o contato oficial do departamento de TI em vez de continuar a conversa pelo perfil que iniciou a abordagem.
Empresas também devem adotar medidas técnicas complementares, como restrição da execução de scripts, políticas de controle de aplicações, monitoramento de processos, autenticação multifator e privilégios mínimos para usuários.
No caso de administradores, vale observar especialmente processos iniciados por aplicações de escritório, navegadores e componentes que normalmente não deveriam iniciar ferramentas administrativas ou comandos de sistema.
O principal aprendizado dessas campanhas é que a segurança não depende apenas de detectar o malware depois que ele chega ao computador. Impedir que o usuário seja convencido a iniciar a infecção continua sendo uma das defesas mais importantes.
O WordlistLoader, o SynkLoader e outras ameaças que adotam técnicas semelhantes mostram uma tendência clara: os criminosos estão transformando interfaces familiares, ferramentas corporativas e mecanismos legítimos da internet em elementos de uma fraude cuidadosamente construída.
Por isso, diante de um CAPTCHA que pede comandos, uma mensagem inesperada do suporte ou um instalador enviado por alguém desconhecido, a melhor resposta é parar e verificar.
Compartilhar esse alerta com colegas de trabalho, familiares e amigos também ajuda a reduzir o alcance dessas campanhas. Quanto mais usuários reconhecerem um falso CAPTCHA, uma solicitação suspeita no Teams ou uma instrução incomum para executar comandos, menor será a chance de a engenharia social cumprir seu objetivo.
