Ataques com CAPTCHA Falso: Como o Malware ClickFix Explora a Confiança Humana e o Que Precisa de Saber para se Manter Seguro

Compreender o aumento dos ataques de malware com CAPTCHA falso

Os sistemas CAPTCHA — aqueles familiarizes puzzles que pedem que identifique letras distorcidas ou selecione imagens — são uma pedra angular da segurança online. Foram concebidos para distinguir humanos de bots, protegendo os sites contra spam, abuso automatizado e credential stuffing. No entanto, à medida que estes sistemas se tornaram onipresentes, os cibercriminosos encontraram formas de instrumentalizar a confiança dos utilizadores nos CAPTCHA, dando origem a uma nova e altamente eficaz forma de ataque de engenharia social: a campanha de malware com CAPTCHA falso, notavelmente utilizando um método chamado ClickFix.

Este artigo explora como funcionam os ataques com CAPTCHA falso, os truques técnicos e psicológicos por trás deles, o malware que distribuem (como o Lumma Stealer) e os passos práticos que os indivíduos e organizações podem dar para se defenderem.

O Que É um Ataque com CAPTCHA Falso?

Num ataque com CAPTCHA falso, os cibercriminosos criam uma página web ou uma janela pop-up que imita de perto sistemas legítimos de CAPTCHA, como o reCAPTCHA do Google ou os ecrãs de desafio da Cloudflare. Estas falsificações são tão convincentes que até utilizadores experientes podem não notar nada de estranho. O ataque desenrola-se tipicamente da seguinte forma:

• A vítima é atraída para um site malicioso, frequentemente através de e-mails de phishing, anúncios falsos ou sites legítimos comprometidos.
• O site apresenta um CAPTCHA falso, pedindo ao utilizador que prove que não é um robô.
• Após o utilizador interagir com o CAPTCHA, são-lhe apresentadas instruções adicionais — como copiar e colar um comando na caixa de diálogo Executar do seu computador ou no terminal.
• Seguir estas instruções resulta na execução de código malicioso, infectando o dispositivo com malware.

Este método é particularmente insidioso porque aproveita as próprias ações do utilizador para contornar os controlos de segurança, tornando a deteção e a prevenção mais difíceis.

ClickFix: O Motor de Engenharia Social Por Trás do Ataque

O termo ClickFix refere-se a uma técnica de engenharia social que engana os utilizadores para que executem eles próprios comandos maliciosos. Ao contrário do malware tradicional, que depende da exploração de vulnerabilidades do software ou de enganar os utilizadores para descarregarem ficheiros infetados, o ClickFix manipula os utilizadores para que executem comandos que instalam malware, frequentemente através de passos aparentemente inofensivos.

Por exemplo, um CAPTCHA falso pode instruir o utilizador a:

• Pressionar Tecla Windows + R para abrir a caixa de diálogo Executar.
• Colar um comando fornecido (frequentemente um script PowerShell ou mshta.exe).
• Pressionar Enter para executar.

Estes passos, que parecem fazer parte de um processo normal de verificação, resultam na verdade na descarga e execução de malware como o Lumma Stealer, o AsyncRAT ou outros trojans de roubo de informações.

Como os Ataques com CAPTCHA Falso se Espalham: Exemplos Reais

Foram observados ataques com CAPTCHA falso numa variedade de contextos, visando tanto indivíduos como organizações em todo o mundo. Campanhas notáveis incluem:

• Phishing do Booking.com: Atacantes fizeram-se passar pelo popular site de reservas de hotéis, enviando e-mails de phishing que levavam os utilizadores a uma página falsa do Booking.com com um CAPTCHA contrafeito. As vítimas que seguiram as instruções acabaram por instalar malware que roubou as suas credenciais e dados pessoais.
• Anúncios Maliciosos e Envenenamento de SEO: Os cibercriminosos usaram técnicas de otimização para mecanismos de pesquisa (SEO) e anúncios maliciosos para promover sites falsos de download de software, música ou filmes populares. Estes sites apresentam CAPTCHAs falsos como prelúdio da infeção.
• Sites Legítimos Comprometidos: Mesmo sites de confiança podem ser comprometidos para apresentar pop-ups de CAPTCHA falso, aumentando ainda mais a credibilidade do ataque.

Segundo a empresa de segurança LAC, incidentes envolvendo o ClickFix foram detetados em múltiplos ambientes de clientes desde finais de 2024, com um aumento acentuado em 2025. Os ataques não se limitam ao Japão; foram relatados nos Estados Unidos, na Europa e na Ásia, afetando indústrias desde as telecomunicações e a saúde até à finança e à hotelaria.

Porque São Estes Ataques Tão Eficazes?

Os ataques com CAPTCHA falso exploram vários fatores psicológicos e técnicos:

• Familiaridade e Confiança: Os utilizadores estão habituados a ver CAPTCHAs e raramente questionam a sua legitimidade.
• Fadiga de Rotina: A exposição frequente a CAPTCHAs pode levar a uma «fadiga de autenticação», tornando os utilizadores menos vigilantes.
• Engenharia Social: As instruções passo a passo são apresentadas como necessárias para a verificação, reduzindo a suspeita.
• Contorno dos Controlos de Segurança: Como o utilizador inicia o comando, as soluções de segurança de endpoint podem interpretar a ação como legítima, dificultando a deteção.

O Malware Por Trás da Máscara: Lumma Stealer e Outros

Uma das cargas úteis mais comuns distribuídas através de ataques com CAPTCHA falso é o Lumma Stealer, um malware de roubo de informações (infostealer) que ganhou rapidamente popularidade entre os cibercriminosos desde o seu surgimento em 2022. O Lumma Stealer é vendido em fóruns da dark web e canais do Telegram, frequentemente como oferta de Malware-as-a-Service (MaaS), tornando-o acessível a uma vasta gama de atacantes.

O Que Faz o Lumma Stealer?

Uma vez instalado, o Lumma Stealer pode:

• Recolher palavras-passe e cookies guardados no browser.
• Roubar credenciais de carteiras de criptomoedas (por exemplo, MetaMask, Binance).
• Extrair dados de autenticação de dois fatores (2FA) e extensões do browser.
• Recolher dados do sistema e das aplicações, incluindo credenciais de acesso remoto.
• Exfiltrar ficheiros e informações sensíveis para servidores remotos controlados pelos atacantes.

Outras famílias de malware observadas nestas campanhas incluem o AsyncRAT, o Vidar Stealer, o XWorm e vários trojans de acesso remoto (RATs). A cadeia de infeção pode também envolver o uso de scripts ofuscados, ficheiros de imagem (.png, .gif) contendo código oculto e cargas úteis em múltiplas fases para evadir a deteção.

Detalhes Técnicos: Como Funciona o Ataque

Investigadores de segurança documentaram o seguinte fluxo técnico:

• A página de CAPTCHA falso é carregada, frequentemente através de um link de phishing ou de um anúncio malicioso.
• Após o utilizador completar o CAPTCHA, é-lhe solicitado que execute um comando (por exemplo, através da caixa de diálogo Executar do Windows ou do terminal do macOS).
• O comando invoca tipicamente o PowerShell ou o mshta.exe para descarregar e executar um script de um servidor remoto.
• O script descarrega a carga útil de malware (por exemplo, um ficheiro ZIP contendo o Lumma Stealer), que é depois executado na máquina da vítima.
• O malware começa a exfiltrar dados, frequentemente usando ligações HTTPS encriptadas para evadir o monitoramento de rede.

Algumas campanhas usaram JavaScript ofuscado embutido em ficheiros aparentemente inofensivos (como MP3 ou PDF) para disfarçar ainda mais o ataque.

Impacto Global e Incidentes Notáveis

Os ataques com CAPTCHA falso causaram perdas financeiras e de dados significativas em todo o mundo. Segundo a Gen Digital (a empresa-mãe da Norton e da Avast), os ataques de phishing e de malware que exploram CAPTCHAs falsos aumentaram mais de 600% no Japão em 2024, com tendências semelhantes observadas globalmente. Os danos totais relatados destes ataques atingiram centenas de milhões de dólares.

As indústrias mais afetadas incluem:

• Telecomunicações – Alvo de dados de clientes e de infraestrutura.
• Saúde – Ataques a portais médicos e a dados de pacientes.
• Finança e Banca – Roubo de credenciais que leva a transações não autorizadas.
• Hotelaria – Booking.com e plataformas semelhantes usadas como isca.

Grupos APT (Ameaça Persistente Avançada), incluindo atores patrocinados por estados da Coreia do Norte, do Irão e da Rússia, também adotaram ataques ao estilo ClickFix, usando-os para espionagem e acesso persistente a redes corporativas.

Como Reconhecer e Prevenir Ataques com CAPTCHA Falso

Dada a sofisticação destes ataques, são essenciais defesas tanto técnicas como comportamentais. Eis o que precisa de saber:

Sinais de Alerta: Como Identificar um CAPTCHA Falso

• Instruções Inusais: Os CAPTCHAs legítimos nunca pedem que execute comandos do sistema, abra a caixa de diálogo Executar ou cole código no seu terminal.
• Pedidos para Descarregar ou Instalar Software: Desconfie de CAPTCHAs que o incentivam a descarregar ficheiros ou extensões do browser.
• Pop-Ups Inesperados: CAPTCHAs que aparecem em sites desconhecidos ou suspeitos, especialmente após clicar em anúncios ou links em e-mails não solicitados.
• URLs Estranhas: Verifique cuidadosamente o endereço do site. Os CAPTCHAs falsos aparecem frequentemente em domínios com erros ortográficos ou sem relação com o serviço que espera.

Boas Práticas para Indivíduos

• Nunca siga instruções para executar comandos de fontes não confiáveis. Se um CAPTCHA lhe pedir para abrir a caixa de diálogo Executar ou o terminal, feche a página imediatamente.
• Verifique a legitimidade do site. Aceda aos sites diretamente escrevendo o URL, e não clicando em links de e-mails ou anúncios.
• Mantenha o seu software e o sistema operativo atualizados. As corrigidas de segurança podem ajudar a prevenir a exploração de vulnerabilidades.
• Use software de segurança de reputação. Ative a proteção em tempo real e mantenha as definições atualizadas.
• Eduque-se e eduque os outros. A sensibilização é a melhor defesa contra a engenharia social.

Boas Práticas para Organizações

• Implemente controlos técnicos: Restrinja a capacidade de executar comandos PowerShell ou mshta.exe a utilizadores não administrativos através da Política de Grupo ou de ferramentas de gestão de endpoints.
• Monitorize atividade suspeita: Use soluções de Endpoint Detection and Response (EDR) para detetar execuções de comandos e tráfego de rede incomuns.
• Bloqueie domínios e URLs maliciosos conhecidos: Mantenha listas de bloqueio atualizadas e use soluções de filtragem web.
• Imponha autenticação multifator (MFA): Reduza o impacto do roubo de credenciais.
• Realize formações regulares de sensibilização para a segurança: Ensine os colaboradores a reconhecer táticas de phishing e de engenharia social.
• Prepare planos de resposta a incidentes: Garanta o isolamento e a investigação rápidos de endpoints infetados.

O Que Fazer Se Suspeitar de Infeção

Se acredita que foi vítima de um ataque com CAPTCHA falso:

• Desligue-se da rede imediatamente para evitar maior exfiltração de dados.
• Contacte a sua equipa de TI ou de segurança se se encontrar num ambiente organizacional.
• Execute uma verificação completa de malware utilizando software de segurança de reputação.
• Altere todas as palavras-passe das contas acedidas a partir do dispositivo infetado, especialmente para serviços sensíveis como banca, correio eletrónico e armazenamento na cloud.
• Monitorize as contas quanto a atividade suspeita e considere ativar medidas de segurança adicionais como o MFA.

Porque os Ataques com CAPTCHA Falso Assinalam uma Nova Era no Cibercrime

Os ataques com CAPTCHA falso, especialmente os que usam ClickFix, representam uma evolução significativa no cibercrime. Ao explorar a confiança que os utilizadores depositam em mecanismos de segurança familiares e ao aproveitar a engenharia social, os atacantes conseguem contornar muitas das defesas tradicionais. Os ataques são difíceis de detetar, pois dependem de ações iniciadas pelo utilizador, e o malware distribuído é cada vez mais sofisticado e modular.

À medida que os cibercriminosos continuam a aperfeiçoar as suas técnicas, a linha entre experiências online legítimas e maliciosas torna-se cada vez mais difusa. Esta tendência realça a importância de combinar controlos técnicos com educação e vigilância dos utilizadores.

Em Síntese

• Os ataques com CAPTCHA falso usam falsificações convincentes de puzzles de segurança para enganar os utilizadores a executar malware nos seus próprios dispositivos.
• O método ClickFix manipula os utilizadores para executarem comandos maliciosos, contornando muitos controlos de segurança.
• O Lumma Stealer e malware semelhante podem roubar palavras-passe, dados financeiros e mais, levando a perdas pessoais e organizacionais significativas.
• Os ataques estão a espalhar-se globalmente, visando uma vasta gama de indústrias e de indivíduos.
• Os sinais de alerta incluem CAPTCHAs que lhe pedem para executar comandos do sistema ou descarregar ficheiros — os CAPTCHAs legítimos nunca o fazem.
• A prevenção requer uma combinação de controlos técnicos, software de segurança atualizado e educação dos utilizadores.
• Se estiver infetado, desligue-se da rede, execute uma verificação de malware, altere as palavras-passe e procure ajuda profissional.
• Manter-se vigilante e cético perante instruções inesperadas online é a melhor defesa contra esta nova vaga de ameaças cibernéticas.