Uma técnica de engenharia social batizada de ClickFix tem sido usada para infectar computadores por meio de páginas falsas que imitam a verificação humana da Cloudflare. O golpe não depende de uma vulnerabilidade de software específica — ele explora a confiança do usuário em telas de segurança que parecem legítimas para induzi-lo a executar, com as próprias mãos, um comando malicioso em seu computador.
O que é o ClickFix e como ele surgiu
Diferente de um malware tradicional, o ClickFix é, na essência, um método de persuasão. De acordo com a Malwarebytes e a MalwareTips, trata-se de uma operação de entrega de malware que disfarça um comando perigoso do Windows como se fosse uma checagem de segurança rotineira do navegador. O nome vem justamente da lógica usada contra a vítima: ela é convencida de que precisa “corrigir” ou verificar algo, executando o código do atacante sem perceber o risco.
Um alerta técnico do setor de saúde dos Estados Unidos (HHS, classificação TLP:CLEAR) explica que a técnica engana usuários para que baixem e executem malware em suas próprias máquinas, sem que o navegador precise intermediar o download ou exigir a execução manual de um arquivo. Dessa forma, o ataque consegue contornar recursos de proteção como o Google Safe Browsing. Segundo o mesmo documento, a campanha é rastreada desde março de 2024.
Um site especializado em remoção de malware, o ITechGuides, resume o funcionamento: verificações reais da Cloudflare pedem apenas que o navegador faça checagens automáticas. Já as páginas falsas usam a técnica “ClickFix”, também chamada de “copiar e colar”, para enganar o usuário e levá-lo a executar malware por conta própria.
Como a tela falsa da Cloudflare engana o usuário
De acordo com a GBHackers, a página fraudulenta se apresenta como uma verificação de rotina, explorando a familiaridade das pessoas com a interface do Cloudflare Turnstile CAPTCHA. Assim, o golpe induz o usuário a executar comandos ocultos do PowerShell, imitando o prompt legítimo “Verify you are human”, com a identidade visual oficial da Cloudflare e até Ray IDs gerados dinamicamente para parecer autêntico.
O mecanismo que explora a área de transferência funciona de forma discreta: ao interagir com a caixa de seleção “Verify you are human”, um script oculto usa APIs web para copiar um comando PowerShell ofuscado — muitas vezes codificado em Base64 — diretamente para o clipboard do usuário, sem qualquer indicação visível do que está acontecendo.
Uma variante batizada pela Microsoft como TerminalFix segue lógica semelhante, mas direciona a vítima para outros terminais. Um site que documentou o caso descreve que um overlay falso de verificação humana da Cloudflare guia a vítima a colar um comando fornecido pelo atacante no PowerShell, no Windows Terminal ou no Terminal do macOS — comando que, ao ser executado, baixa e instala o malware. Segundo a mesma fonte, o roteamento direcionado ao Terminal ganhou nome próprio em agosto de 2026, quando a Microsoft Threat Intelligence publicou sua pesquisa sobre o TerminalFix.
A universidade BU.edu descreve o padrão geral da isca: a vítima encontra um pop-up em um site malicioso ou comprometido que imita um alerta legítimo, como um CAPTCHA “Verify you’re human”, uma notificação de atualização de navegador ou uma mensagem de erro. O prompt traz um botão do tipo “Fix It” ou “Copy Fix” que, ao ser clicado, aciona um script malicioso capaz de copiar silenciosamente um comando ofuscado e nocivo para a área de transferência do usuário.
Campanhas recentes já documentadas
Diversos casos recentes mostram a extensão do problema. Na Ucrânia, o CERT-UA identificou, em setembro de 2026, mais de 100 sites legítimos comprometidos e alterados para exibir páginas falsas de verificação da Cloudflare, que instalavam o infostealer LunexStealer. A operação é rastreada sob o codinome UAC-0277. Segundo o próprio CERT-UA, ao visitar tal site, os usuários viam uma página de verificação da Cloudflare forjada que, sob o pretexto de confirmar que o visitante é humano, solicitava a execução de um comando — e essa execução causava o download e a instalação de um pacote MSI malicioso a partir de um servidor remoto, caracterizando a técnica ClickFix.
Um detalhe técnico chama atenção: em um dos modos observados, a página falsa só é exibida a usuários Windows que chegam ao site a partir de resultados de buscadores, e não mais que duas vezes em 12 horas. O CERT-UA, no entanto, não divulgou como os sites foram comprometidos, quantos computadores foram infectados, nem se a campanha segue ativa — lacuna também apontada pelo hackread.com.
Paralelamente, segundo o The Hacker News, com base em levantamento da Arctic Wolf Labs, outra campanha identificada na Ucrânia, batizada de Psychedelic Stealer, atingiu negócios legítimos e estabelecidos, entre eles:
- uma clínica de tratamento capilar;
- um fabricante de modelos em escala;
- uma livraria/editora especializada;
- uma instalação psicológica;
- um varejista de ferramentas;
- um varejista automotivo.
A Arctic Wolf descreveu a mecânica da seguinte forma:
“Quando um visitante interage com a página, a isca copia um comando do Windows Installer para a área de transferência e instrui o visitante a colá-lo na caixa de diálogo Executar do Windows.”
A mesma análise relata um detalhe de disfarce temporal: após um spinner de três segundos, a página apresenta uma caixa de diálogo de instrução e mantém o botão “Done” desabilitado por um período determinado, conforme trecho da fonte original.
Outros vetores: Ghost CMS, WordPress e sites falsos de reservas
Além da tela falsa da Cloudflare, o ClickFix tem se espalhado por diferentes brechas e disfarces. Segundo a Malwarebytes, mais de 700 sites com Ghost CMS foram comprometidos por meio de uma falha de SQL injection catalogada como CVE-2026-26980. Com essa vulnerabilidade, os atacantes roubaram chaves de API administrativas e injetaram silenciosamente JavaScript malicioso em posts e páginas dos sites afetados.
Já em janeiro de 2026, a ThreatLocker identificou um site falso “booking.com” ativo explorando a técnica ClickFix, em ataque semelhante aos sites de tela azul (BSoD) que imitavam o “booking.com” documentados anteriormente — usando, mais uma vez, uma página falsa de verificação Cloudflare Turnstile para coagir vítimas a executar comandos maliciosos.
A Malwarebytes também identificou campanhas ativas desde, pelo menos, o final de 2025, que usaram telas falsas de verificação do Google e da Cloudflare para enganar visitantes e levá-los a copiar e executar comandos maliciosos em seus próprios computadores. Entre os malwares entregues por essas campanhas estão StealC, Remus, NetSupport, HijackLoader, CastleLoader, Amatera Stealer e um infostealer ainda não identificado, baseado em Rust. Um padrão de infraestrutura chamou atenção dos pesquisadores: muitos comandos PowerShell seguiam estrutura semelhante, arquivos de estágio posterior eram frequentemente descompactados na pasta C:ProgramDataZooms, os payloads eram hospedados com frequência em buckets Cloudflare R2, e vários endereços IP envolvidos estavam hospedados pela Dedik Services Limited.
A escala do problema em sites WordPress também preocupa. Segundo a witscode.com, em 2025 a equipe de segurança da GoDaddy contabilizou 33.290 sites WordPress carregando alguma variante do golpe, enquanto o Check Point Research rastreou uma única operação criminosa por trás de parte significativa dessas infecções.
Diante desse cenário, especialistas em segurança reforçam que a defesa mais eficaz contra o ClickFix é comportamental: nenhuma verificação legítima de “sou humano” pede que o usuário abra o terminal, o PowerShell ou a caixa de diálogo Executar do Windows para colar comandos. Ou seja, qualquer tela que solicite esse tipo de ação — mesmo exibindo o visual da Cloudflare ou de outro serviço conhecido — deve ser tratada como suspeita, e o ideal é fechar a página imediatamente em vez de seguir as instruções apresentadas.
