Descoberta e Escopo
Uma nova e mais capaz versão do ataque ClickFix foi detectada em operação, funcionando de maneira diferente do que as equipes de segurança viram antes. Em vez de depender do PowerShell, os atacantes estão agora encadeando ferramentas nativas do Windows, especificamente cmdkey e regsvr32, para entregar silenciosamente um payload remoto sem deixar nenhum arquivo em disco.
O ClickFix tem sido uma preocupação crescente em cibersegurança há algum tempo. A técnica funciona enganando usuários para executarem um comando malicioso através de engenharia social. Em campanhas anteriores, os atacantes usavam páginas de CAPTCHA falsas para convencer vítimas a colar e executar comandos através do diálogo Executar do Windows, que normalmente invocava o PowerShell para buscar e executar um payload.
Esta versão mais recente abandona completamente o PowerShell, tornando mais difícil para ferramentas de detecção tradicionais capturar a atividade. A equipe de Pesquisa de Ameaças da CyberProof, liderada por Deepak Nayak, Kithu Shajil e Veena Sagar, identificou esta nova variante do ClickFix e publicou suas descobertas em 22 de abril de 2026.
Vetor e Exploração
O ataque começa quando um usuário visita uma página de phishing que imita uma tela de verificação de CAPTCHA. A página instrui o usuário a abrir o diálogo Executar do Windows usando Win + R, colar um comando pré-carregado e pressionar Enter. O comando observado chama o cmd.exe e encadeia duas ações primárias.
Primeiro, a utilidade cmdkey armazena credenciais para o endereço IP remoto 151.245.195[.]142 sob o nome de usuário "guest". Segundo, o regsvr32 carrega silenciosamente o demo.dll da partilha SMB do atacante via caminho UNC. Um comentário REM embutido no comando lê "I am not a robot" para disfarçar a intenção maliciosa e fazer com que tudo pareça um passo de verificação legítimo.
Impacto e Alcance
O impacto desta mudança importa para organizações que dependem de detecção comportamental. Como o ataque usa apenas utilitários nativos do Windows, também chamados de Living off the Land Binaries (LOLBins), soluções de segurança que procuram por drops de software suspeitos ou processos incomuns podem não levantar nenhum alerta.
Um único comando digitado no diálogo Executar do Windows é suficiente para iniciar uma cadeia de ataque em múltiplos estágios que persiste em uma máquina e se conecta de volta à infraestrutura controlada pelo atacante. Isso torna a ameaça acessível a uma ampla gama de vítimas, desde usuários individuais até funcionários corporativos.
Medidas de Mitigação Recomendadas
Equipes de segurança devem monitorar o uso do cmdkey envolvendo endereços IP externos e observar o regsvr32 carregando DLLs remotas via caminhos UNC. Alertas devem ser configurados para execução de comando encadeada através do cmd.exe, e a atividade do Agendador de Tarefas referenciando arquivos XML remotos deve ser revisada de perto.
O acesso SMB e UNC de saída deve ser restringido ou monitorado de perto no nível de rede. A educação do usuário é igualmente importante, ajudando os funcionários a reconhecerem a engenharia social estilo ClickFix antes que eles coletem ou executem qualquer coisa.
Implicações Regulatórias e de Conformidade
A evolução das táticas de ataque para evitar detecção tradicional desafia os processos de segurança existentes. Organizações devem revisar suas políticas de segurança e garantir que as ferramentas de monitoramento estejam atualizadas para detectar técnicas LOLBins.
A conformidade com padrões de segurança como NIST e ISO 27001 exige que as organizações mantenham um programa de gestão de riscos robusto. A implementação de controles de segurança em camadas é essencial para mitigar ameaças avançadas.
Perguntas Frequentes
- O que é ClickFix? Técnica de engenharia social que engana usuários para executarem comandos maliciosos.
- Como o novo ataque funciona? Usa cmdkey e regsvr32 em vez de PowerShell para evitar detecção.
- Quais são os IOCs? Endereço IP 151.245.195.142 e hash SHA256 do payload.
- Como se proteger? Monitorar uso de cmdkey, restringir acesso SMB e educar usuários.