ClickFix hackers disfarçados de empresas de capital de risco atacam utilizadores de criptomoedas, QuickLens sequestra e expõe de forma maliciosa

A empresa de cibersegurança Moonlock Lab divulgou na segunda-feira um relatório, revelando os métodos de ataque mais recentes utilizados por hackers de criptomoedas centrados na técnica “ClickFix”: burlões disfarçam-se de falsas empresas de capital de risco como SolidBit e MegaBit para contactar profissionais de cripto no LinkedIn, oferecendo oportunidades de colaboração e, por fim, induzindo as vítimas a executar comandos maliciosos nos seus terminais informáticos para roubar ativos criptográficos.

Análise da técnica de ataque ClickFix: transformar a vítima no executor do ataque

A inovação central do ClickFix reside em perturbar completamente as vias tradicionais de infeção por malware. O processo de ataque normalmente inclui os seguintes passos:

Fase 1 (Assistente social no LinkedIn): Os hackers contactam os utilizadores-alvo em nome de falsas empresas de capital de risco, oferecendo oportunidades de cooperação aparentemente legítimas e estabelecendo uma confiança inicial.

Fase 2 (Link de vídeo falso): Conduz o alvo a um link fraudulento disfarçado de Zoom ou Google Meet, levando-o a uma “página de evento” simulada.

Fase 3 (Sequestro de clipboard): A página apresenta uma caixa de verificação falsa da Cloudflare “Não sou um robô” e, ao clicar nela, comandos maliciosos são discretamente copiados para a prancheta do utilizador.

Fase 4 (Autoexecução): Solicita ao utilizador que abra o terminal do computador e cole um “código de verificação”, que na realidade executa o comando de ataque.

A equipa de investigação do Moonlock Lab destacou: “A eficiência da tecnologia ClickFix reside em transformar a própria vítima num mecanismo de execução do ataque. Ao permitir que a vítima cole e execute o comando por si própria, o atacante contorna as várias salvaguardas que a indústria da segurança construiu ao longo dos anos — sem explorar vulnerabilidades ou desencadear comportamentos suspeitos de download.”

Detalhes do incidente de sequestro do QuickLens e lista de funcionalidades maliciosas

O caso de sequestro do QuickLens apresenta outro vetor de ataque — um ataque ao estilo cadeia de abastecimento dirigido a utilizadores legítimos existentes:

1 de fevereiro: Mudança de propriedade da extensão QuickLens (transferência de propriedade)

Duas semanas depois: O novo proprietário lança uma versão atualizada com scripts maliciosos

23 de fevereiro: O investigador de segurança Tuckner revelou publicamente que a extensão foi removida da Chrome Web Store

Lista de funcionalidades maliciosas:

· Pesquisar e roubar dados de carteiras de criptomoedas e frases-semente (Seed Phrase)

· Extrair conteúdo da caixa de entrada do Gmail do utilizador

· Roubar dados de canais do YouTube

· Capturar credenciais de login e informações de pagamento inseridas em formulários web

Segundo um relatório da eSecurity Planet, a extensão sequestrada implementa tanto o módulo de ataque ClickFix como outras ferramentas de roubo de informação, indicando que os intervenientes por trás dela possuem a capacidade de trabalhar em conjunto com múltiplas ferramentas.

O contexto mais amplo de ameaças do ClickFix

O Moonlock Lab destacou que a tecnologia ClickFix ganhou rápida popularidade entre os atores de ameaças desde 2025, sendo a sua principal vantagem explorar o comportamento humano em vez de vulnerabilidades de software, contornando assim a lógica de deteção das ferramentas tradicionais de segurança.

O departamento de inteligência de ameaças da Microsoft alertou em agosto de 2025 que continua a monitorizar “atividades diárias de ataques direcionados a milhares de empresas e dispositivos finais em todo o mundo”. Num relatório de julho de 2025, a empresa de inteligência de ameaças cibernéticas Unit42 confirmou que o ClickFix já afetou diversos setores, incluindo manufatura, retalho, governos estaduais e locais, bem como o setor de energia e serviços públicos, muito além do setor exclusivo das criptomoedas.

Perguntas frequentes

Por que é que os ataques ClickFix conseguem contornar com sucesso os antivírus e softwares de segurança?

A lógica de funcionamento do antivírus tradicional baseia-se na identificação e bloqueio da execução automática de programas suspeitos. O avanço do ClickFix está em fazer com que as “pessoas” sejam os agentes — a vítima insere e executa ativamente comandos, em vez de serem automaticamente implantados por malware, dificultando que as ferramentas de deteção comportamental os identifiquem como ameaças, pois o terminal realiza operações que parecem normais ao utilizador.

Como reconhecer um ataque de engenharia social do tipo ClickFix?

Os principais sinais de alerta incluem: receber propostas de parceria empresarial de contas desconhecidas no LinkedIn, ser solicitado a inserir um “código de verificação” ou “passo de correção” após clicar num link de reunião, qualquer instrução para abrir o terminal (linha de comandos) e colar um código, além de interfaces falsas de autenticação disfarçadas de Cloudflare ou CAPTCHA. A regra de segurança é: qualquer serviço legítimo não exige que o utilizador execute comandos no terminal para completar a autenticação.

Que ações os utilizadores do QuickLens devem tomar agora?

Se instalou a extensão QuickLens, remova-a imediatamente do seu navegador, substitua todas as carteiras de criptomoedas potencialmente afetadas (gerando uma nova frase-semente e transferindo fundos para uma nova carteira) e redefina as passwords do Gmail e de outras contas associadas. Recomenda-se rever periodicamente as extensões instaladas no navegador e manter-se atento a quaisquer alterações recentes de propriedade dessas extensões.