Por Debasish | 02 de Dezembro de 2025 Fonte: Gizmochina

Uma nova variante sorrateira do malware ClickFix está se espalhando, e seu alvo é a vítima mais fácil de todas: qualquer pessoa que confie em uma notificação de atualização do Windows. Pesquisadores de segurança da Huntress afirmam que os atacantes conseguiram criar uma tela falsa de atualização em tela cheia que parece convincente o suficiente para enganar as pessoas e obter acesso total — tudo por meio de um simples truque de copiar e colar.

O golpe costuma aparecer em sites suspeitos, principalmente páginas de streaming adulto repletas de pop-ups duvidosos. Um clique acidental em um anúncio ou em uma falsa verificação de idade, e todo o seu navegador se transforma repentinamente em algo que parece uma atualização legítima do Windows travada em 95%. Em seguida, alega que você precisa pressionar Windows + R e colar um comando especial para concluir a atualização. Claro, é exatamente isso que o malware quer.

Esse comando inicia silenciosamente o mshta, uma ferramenta integrada do Windows, e baixa um payload de um servidor remoto. Para dificultar a detecção, o código inclui diversos comandos indesejados destinados a enganar softwares de segurança. Em uma das reviravoltas mais estranhas, parte do código malicioso está, na verdade, escondida dentro de uma imagem PNG — o malware extrai shellcode oculto diretamente dos pixels e, em seguida, se injeta em outros processos em execução usando o .NET.

Uma vez inserido no sistema, o segundo estágio entra em ação. Programas conhecidos por roubar informações, como Rhadamanthys ou LummaC2, são instalados na máquina e, a partir daí, começam os ataques a senhas, cookies de navegador, logins bancários e dados de carteiras de criptomoedas. Tudo é coletado e enviado aos invasores.

Pesquisadores afirmam que a campanha está ativa desde pelo menos o início de outubro e continua em pleno andamento, com vários domínios semelhantes hospedando a tela de atualização falsa. Analistas forenses também encontraram sequências aleatórias e inúteis no código — incluindo uma estranha referência a um antigo discurso da ONU — aparentemente inseridas apenas para desperdiçar o tempo dos analistas.

O pior é que esse ataque depende inteiramente de engenharia social. Sem downloads de arquivos. Sem pop-ups óbvios de malware. Apenas um site enganando você para que execute o comando dele.

Resumindo:

Nunca copie e cole comandos de uma página da web aleatória, não importa o quão oficial ela pareça. As atualizações legítimas do Windows nunca pedem que você abra a caixa Executar.