Ataques com CAPTCHA falso: como o malware ClickFix explora a confiança das pessoas e o que você precisa saber para se proteger

Entenda o crescimento dos ataques de malware com CAPTCHA falso

Os sistemas CAPTCHA — aqueles desafios conhecidos que pedem para identificar letras distorcidas ou selecionar imagens — são um pilar da segurança on-line. Eles foram criados para distinguir pessoas de bots, protegendo sites contra spam, abuso automatizado e ataques de preenchimento de credenciais. No entanto, à medida que esses sistemas se tornaram onipresentes, os criminosos cibernéticos encontraram maneiras de explorar a confiança dos usuários nos CAPTCHAs, dando origem a uma forma nova e altamente eficaz de ataque de engenharia social: as campanhas de malware com CAPTCHA falso, que usam sobretudo um método chamado ClickFix.

Este artigo explica como funcionam os ataques com CAPTCHA falso, os truques técnicos e psicológicos por trás deles, os malwares que disseminam (como o Lumma Stealer) e as medidas práticas que pessoas e organizações podem adotar para se proteger.

O que é um ataque com CAPTCHA falso?

Em um ataque com CAPTCHA falso, criminosos cibernéticos criam uma página da web ou janela pop-up que imita de perto sistemas CAPTCHA legítimos, como o reCAPTCHA do Google ou as telas de verificação da Cloudflare. Essas falsificações são tão convincentes que até mesmo usuários experientes podem não perceber que há algo errado. Em geral, o ataque acontece da seguinte forma:

• A vítima é atraída para um site malicioso, muitas vezes por meio de e-mails de phishing, anúncios falsos ou sites legítimos comprometidos.
• O site exibe um CAPTCHA falso e pede que o usuário prove que não é um robô.
• Depois que o usuário interage com o CAPTCHA, são exibidas outras instruções, como copiar e colar um comando na janela Executar do computador ou no terminal.
• Seguir essas instruções leva à execução de código malicioso, que infecta o dispositivo com malware.

Esse método é particularmente insidioso porque usa as próprias ações do usuário para contornar os controles de segurança, dificultando a detecção e a prevenção.

ClickFix: o mecanismo de engenharia social por trás do ataque

O termo ClickFix se refere a uma técnica de engenharia social que engana os usuários para que eles mesmos executem comandos maliciosos. Diferentemente dos malwares tradicionais, que dependem da exploração de vulnerabilidades de software ou de convencer os usuários a baixar arquivos infectados, o ClickFix manipula as pessoas para que executem comandos que instalam malware, muitas vezes por meio de etapas aparentemente inofensivas.

Por exemplo, um CAPTCHA falso pode instruir o usuário a:

• Pressionar Tecla Windows + R para abrir a janela Executar.
• Colar um comando fornecido (geralmente um script de PowerShell ou mshta.exe).
• Pressionar Enter para executar.

Essas etapas, que parecem fazer parte de um processo normal de verificação, na verdade resultam no download e na execução de malwares como Lumma Stealer, AsyncRAT ou outros trojans ladrões de informações.

Como os ataques com CAPTCHA falso se disseminam: exemplos reais

Foram observados ataques com CAPTCHA falso em diversos contextos, tendo como alvo pessoas e organizações em todo o mundo. Entre as campanhas mais notáveis estão:

• Phishing do Booking.com: Os invasores se passaram pelo popular site de reservas de hotéis e enviaram e-mails de phishing que levavam os usuários a uma página falsa do Booking.com com um CAPTCHA fraudulento. As vítimas que seguiram as instruções acabaram instalando malware que roubava suas credenciais e dados pessoais.
• Anúncios maliciosos e manipulação de SEO: Criminosos cibernéticos usaram técnicas de otimização para mecanismos de busca (SEO) e anúncios maliciosos para promover sites falsos de download de softwares, músicas ou filmes populares. Esses sites exibem CAPTCHAs falsos antes de infectar os dispositivos.
• Sites legítimos comprometidos: Até mesmo sites confiáveis podem ser comprometidos para exibir janelas pop-up com CAPTCHA falso, aumentando ainda mais a credibilidade do ataque.

Segundo a empresa de segurança LAC, incidentes envolvendo ClickFix foram detectados em diversos ambientes de clientes desde o fim de 2024, com um aumento expressivo em 2025. Os ataques não se limitam ao Japão: há registros nos EUA, na Europa e na Ásia, afetando setores que vão das telecomunicações e da saúde às finanças e à hotelaria.

Por que esses ataques são tão eficazes?

Os ataques com CAPTCHA falso exploram diversos fatores psicológicos e técnicos:

• Familiaridade e confiança: Os usuários estão acostumados a ver CAPTCHAs e raramente questionam se são legítimos.
• Fadiga de rotina: A exposição frequente a CAPTCHAs pode levar à “fadiga de autenticação”, deixando os usuários menos atentos.
• Engenharia social: As instruções passo a passo são apresentadas como necessárias para a verificação, reduzindo as suspeitas.
• Contorno dos controles de segurança: Como o próprio usuário inicia o comando, soluções de segurança de endpoint podem interpretar a ação como legítima, dificultando a detecção.

O malware por trás da fachada: Lumma Stealer e outros

Um dos payloads mais comuns disseminados por ataques com CAPTCHA falso é o Lumma Stealer, um malware ladrão de informações (infostealer) que ganhou popularidade rapidamente entre criminosos cibernéticos desde que surgiu, em 2022. O Lumma Stealer é vendido em fóruns da dark web e canais do Telegram, muitas vezes como uma oferta de malware como serviço (MaaS), o que o torna acessível a uma ampla variedade de invasores.

O que o Lumma Stealer faz?

Depois de instalado, o Lumma Stealer pode:

• Coletar senhas e cookies armazenados no navegador.
• Roubar credenciais de carteiras de criptomoedas (por exemplo, MetaMask e Binance).
• Extrair dados de autenticação de dois fatores (2FA) e extensões do navegador.
• Coletar dados do sistema e de aplicativos, incluindo credenciais de acesso remoto.
• Exfiltrar arquivos e informações confidenciais para servidores remotos controlados pelos invasores.

Outras famílias de malware observadas nessas campanhas incluem AsyncRAT, Vidar Stealer, XWorm e vários trojans de acesso remoto (RATs). A cadeia de infecção também pode envolver scripts ofuscados, arquivos de imagem (.png, .gif) com código oculto e payloads em várias etapas para escapar da detecção.

Detalhes técnicos: como o ataque funciona

Pesquisadores de segurança documentaram o seguinte fluxo técnico:

• A página com o CAPTCHA falso é carregada, muitas vezes por meio de um link de phishing ou anúncio malicioso.
• Depois que o usuário conclui o CAPTCHA, ele recebe instruções para executar um comando (por exemplo, pela janela Executar do Windows ou pelo terminal do macOS).
• O comando geralmente aciona o PowerShell ou o mshta.exe para baixar e executar um script de um servidor remoto.
• O script baixa o payload do malware (por exemplo, um arquivo ZIP contendo o Lumma Stealer), que então é executado no dispositivo da vítima.
• O malware começa a exfiltrar dados, muitas vezes usando conexões HTTPS criptografadas para escapar do monitoramento da rede.

Algumas campanhas usaram JavaScript ofuscado incorporado em arquivos aparentemente inofensivos (como MP3s ou PDFs) para disfarçar ainda mais o ataque.

Impacto global e incidentes notáveis

Os ataques com CAPTCHA falso causaram perdas financeiras e de dados significativas em todo o mundo. Segundo a Gen Digital (controladora da Norton e da Avast), os ataques de phishing e malware que usam CAPTCHAs falsos aumentaram mais de 600% no Japão em 2024, com tendências semelhantes observadas no mundo todo. O total de prejuízos informados com esses ataques já chegou a centenas de milhões de dólares.

Os setores mais afetados incluem:

• Telecomunicações – Alvos devido aos dados de clientes e da infraestrutura.
• Saúde – Ataques a portais médicos e dados de pacientes.
• Finanças e bancos – Roubo de credenciais que leva a transações não autorizadas.
• Hotelaria – Booking.com e plataformas semelhantes usadas como isca.

Grupos APT (ameaças persistentes avançadas), incluindo agentes patrocinados por governos da Coreia do Norte, do Irã e da Rússia, também adotaram ataques no estilo ClickFix para espionagem e acesso persistente a redes corporativas.

Como reconhecer e evitar ataques com CAPTCHA falso

Dada a sofisticação desses ataques, são essenciais tanto as defesas técnicas quanto as comportamentais. Veja o que você precisa saber:

Sinais de alerta: como identificar um CAPTCHA falso

• Instruções incomuns: CAPTCHAs legítimos nunca pedem que você execute comandos do sistema, abra a janela Executar ou cole código no terminal.
• Pedidos para baixar ou instalar software: Desconfie de CAPTCHAs que pedem o download de arquivos ou extensões do navegador.
• Janelas pop-up inesperadas: Fique atento a CAPTCHAs que aparecem em sites desconhecidos ou suspeitos, especialmente depois de clicar em anúncios ou links de e-mails não solicitados.
• URLs estranhas: Confira cuidadosamente o endereço do site. CAPTCHAs falsos costumam aparecer em domínios com erros de grafia ou sem relação com o serviço esperado.

Boas práticas para pessoas

• Nunca siga instruções para executar comandos de fontes não confiáveis. Se um CAPTCHA pedir que você abra a janela Executar ou o terminal, feche a página imediatamente.
• Verifique se o site é legítimo. Acesse os sites digitando o endereço diretamente, em vez de clicar em links de e-mails ou anúncios.
• Mantenha seus softwares e sistema operacional atualizados. Correções de segurança podem ajudar a impedir a exploração de vulnerabilidades.
• Use um software de segurança confiável. Ative a proteção em tempo real e mantenha as definições atualizadas.
• Informe-se e oriente outras pessoas. A conscientização é a melhor defesa contra a engenharia social.

Boas práticas para organizações

• Implemente controles técnicos: Restrinja a execução de comandos do PowerShell ou do mshta.exe por usuários sem privilégios administrativos, usando a Política de Grupo ou ferramentas de gerenciamento de endpoints.
• Monitore atividades suspeitas: Use soluções de detecção e resposta em endpoints (EDR) para identificar execuções incomuns de comandos e tráfego de rede suspeito.
• Bloqueie domínios e URLs maliciosos conhecidos: Mantenha listas de bloqueio atualizadas e use soluções de filtragem da web.
• Exija autenticação multifator (MFA): Reduza o impacto do roubo de credenciais.
• Realize treinamentos regulares de conscientização em segurança: Ensine os funcionários a reconhecer táticas de phishing e engenharia social.
• Prepare planos de resposta a incidentes: Garanta o isolamento e a investigação rápidos de endpoints infectados.

O que fazer se suspeitar de uma infecção

Se você acredita que foi vítima de um ataque com CAPTCHA falso:

• Desconecte-se da rede imediatamente para impedir novas exfiltrações de dados.
• Entre em contato com a equipe de TI ou segurança se estiver em uma organização.
• Faça uma verificação completa em busca de malware usando um software de segurança confiável.
• Troque todas as senhas das contas acessadas no dispositivo infectado, especialmente as de serviços confidenciais, como bancos, e-mail e armazenamento em nuvem.
• Monitore as contas em busca de atividades suspeitas e considere ativar medidas adicionais de segurança, como a MFA.

Por que os ataques com CAPTCHA falso anunciam uma nova era do cibercrime

Os ataques com CAPTCHA falso, especialmente os que usam ClickFix, representam uma evolução significativa do cibercrime. Ao explorar a confiança dos usuários em mecanismos de segurança conhecidos e recorrer à engenharia social, os invasores conseguem contornar muitas defesas tradicionais. Esses ataques são difíceis de detectar porque dependem de ações iniciadas pelos próprios usuários, e os malwares disseminados são cada vez mais sofisticados e modulares.

À medida que os criminosos cibernéticos aprimoram suas técnicas, a linha entre experiências on-line legítimas e maliciosas fica cada vez mais tênue. Essa tendência reforça a importância de combinar controles técnicos com conscientização e atenção dos usuários.

Em resumo

• Os ataques com CAPTCHA falso usam falsificações convincentes de desafios de segurança para enganar usuários e fazê-los executar malware nos próprios dispositivos.
• O método ClickFix manipula os usuários para que executem comandos maliciosos, contornando muitos controles de segurança.
• O Lumma Stealer e malwares semelhantes podem roubar senhas, dados financeiros e muito mais, causando perdas significativas para pessoas e organizações.
• Os ataques estão se disseminando pelo mundo e têm como alvo diversos setores e pessoas.
• Entre os sinais de alerta estão CAPTCHAs que pedem a execução de comandos do sistema ou o download de arquivos: CAPTCHAs legítimos nunca fazem isso.
• A prevenção exige uma combinação de controles técnicos, softwares de segurança atualizados e conscientização dos usuários.
• Em caso de infecção, desconecte-se da rede, faça uma verificação em busca de malware, troque as senhas e procure ajuda profissional.
• Manter-se atento e desconfiar de instruções inesperadas na internet é a melhor defesa contra essa nova onda de ameaças cibernéticas.