Páginas falsas de verificação da Cloudflare levam utilizadores de Windows e Mac a executar comandos maliciosos

Uma campanha ClickFix observada pela primeira vez a 28 de outubro de 2026 transforma um dos rituais mais familiares da web, a caixa "Verify you are human" da Cloudflare, num vetor de infeção. Os visitantes de sites comprometidos, mas de resto legítimos, veem uma imitação convincente da verificação e são depois instruídos a "concluir a verificação" colando um comando na janela Executar do Windows ou no Terminal do macOS. Não é explorada nenhuma falha de software e o browser não descarrega nada. A vítima executa pessoalmente o passo perigoso.

O que aconteceu

A cadeia começa com um pequeno script injetado num site invadido e servido a partir do domínio js-static[.]cfd, controlado pelos atacantes. Assim que corre no browser, desenha uma sobreposição de página inteira com o logótipo da Cloudflare e fontes web a condizer, e dispara uma série de chamadas para o mesmo domínio que verificam o fuso horário, a localização e o endereço IP do visitante. Esse fingerprinting ajuda muito provavelmente os operadores a decidir quem recebe o isco e em que versão, embora essa parte não tenha sido confirmada.

A sobreposição afirma depois que "a verificação está a demorar mais do que o habitual" e enumera três passos: manter premido Win+R, premir Ctrl+V, premir Enter. A página já colocou um comando na área de transferência. No Windows, esse comando invoca o utilitário de instalação da Microsoft com um nome ligeiramente disfarçado para descarregar e instalar silenciosamente um pacote a partir de api-com[.]cfd; no fim é acrescentada uma longa cadeia de texto-isco, de modo que o único texto visível na janela Executar seja "To verify push the ENTER key". Os visitantes em Mac recebem uma receita diferente: uma única linha que descarrega um script de cf-id[.]com e o encaminha diretamente para o bash. Cada sistema operativo recebe as suas próprias instruções, pelo que o mesmo isco funciona em ambos.

Nenhuma das cargas pôde ser recuperada durante a análise. O URL para Windows respondeu com um 403 Forbidden e o domínio para macOS não resolveu, pelo que o malware final de qualquer das plataformas continua desconhecido. O script injetado aparece, no entanto, em vários outros sites, o que aponta para uma campanha em múltiplos sites e não para um único host comprometido.

Porque é que isto importa

O ClickFix continua a funcionar porque pede confiança emprestada em vez de quebrar software. Quase toda a gente já passou por uma verificação da Cloudflare. O único elemento invulgar é o pedido para colar algo e, num site que o visitante já conhece, esse pedido passa muitas vezes sem ser questionado. Como o comando é executado pelo utilizador através de um binário legítimo do sistema, muitos controlos de endpoint não veem mais do que atividade de rotina.

A técnica está a alastrar. Uma vaga recente, distinta desta, usou o mesmo isco de Cloudflare falsa em mais de uma centena de sites invadidos para distribuir um infostealer a visitantes de Windows, e os utilizadores de macOS são já visados com frequência suficiente para que as versões recentes do macOS avisem quando é colado texto suspeito no Terminal. Esta campanha é a iteração seguinte, não uma exceção.

O que fazer

• Ensine uma única regra. Uma verificação genuína da Cloudflare nunca pede para abrir a janela Executar, o PowerShell ou o Terminal. Se uma página o fizer, feche o separador.
• Reforce os endpoints. Desative a janela Executar do Windows através de políticas de grupo onde os utilizadores não precisem dela e crie alertas para atividade invulgar de msiexec, mshta, PowerShell ou Terminal, sobretudo logo a seguir a uma sessão de browser.
• Bloqueie e investigue. Acrescente os domínios abaixo às listas de bloqueio de DNS e proxy e procure nos registos ligações anteriores a esses domínios.
• Verifique o seu próprio site. Reveja as páginas à procura de scripts que não adicionou. A campanha depende inteiramente de sites invadidos, e o JavaScript injetado é muitas vezes o primeiro sintoma visível de um comprometimento mais profundo.

Esses sites invadidos são a metade silenciosa desta história. Núcleos de CMS desatualizados, plugins vulneráveis e painéis de administração expostos são a forma como os atacantes obtêm, em primeiro lugar, a capacidade de injetar scripts, e é exatamente essa classe de fraquezas que a análise de vulnerabilidades da 4tify foi concebida para expor antes que outra pessoa a encontre.

Indicadores de comprometimento

Os indicadores estão propositadamente desativados. Reative-os apenas dentro de ferramentas controladas, como o seu SIEM ou a sua plataforma de threat intelligence.