ClickFix: como um anúncio no Google com o endereço do Bing leva a um instalador falso do Claude

Procurar um programa no Google e clicar no primeiro resultado é um gesto automático, e é com isso que contam os autores de uma campanha descrita a 9 de outubro pela empresa de segurança Push Security. Quem pesquisava "claude mac", à procura da aplicação do assistente de IA da Anthropic para computadores Apple, via um resultado patrocinado que parecia inofensivo e que terminava numa página de instalação falsa. O caso serve de exemplo de uma técnica chamada ClickFix, que a Push Security descreve como a mais usada hoje em ataques feitos através do browser.

O que é o ClickFix

Num ataque ClickFix ninguém te pede para descarregar um ficheiro suspeito. A página apresenta um problema ou um passo de instalação e dá-te um comando para copiares e colares no Terminal do Mac ou na linha de comandos do Windows. És tu que executas o código, com as tuas permissões, e é por isso que funciona.

Na campanha agora analisada, a página imitava o site de transferência do Claude e mostrava o comando de instalação legítimo, o mesmo que a Anthropic publica. O truque estava no botão de copiar. Segundo o BleepingComputer, ao carregares nele ficava na área de transferência outro comando, que escrevia no ecrã uma mensagem a dizer que estava a descarregar o Claude do site oficial e, em silêncio, ia buscar um ficheiro a um servidor dos atacantes e executava-o. Não se sabe que programa era instalado no fim.

Porque é que o anúncio parecia de confiança

O que torna este caso diferente é o caminho até à página falsa. O anúncio patrocinado não mostrava um endereço parecido com o da Anthropic: mostrava bing.com, o motor de busca da Microsoft. Os atacantes usaram como destino do anúncio uma ligação de resultado de pesquisa do Bing, daquelas que o motor usa para registar cliques antes de encaminhar o utilizador.

Essa ligação apontava para a página de um retalhista sul-americano cujo site WordPress tinha sido comprometido, e era esse site que enviava o visitante para o instalador falso. A Push Security diz não ter encontrado relatos públicos anteriores deste uso do Bing num anúncio de pesquisa. Pelo meio havia dois filtros: quem abrisse os endereços diretamente, sem vir do anúncio, recebia uma página de erro. Assim, as ferramentas automáticas que verificam ligações tinham mais dificuldade em ver o conteúdo malicioso.

Os investigadores identificaram vários outros domínios com o mesmo instalador e o mesmo comando, o que indica que a página do Claude é uma entre várias.

Como te proteges

O esquema visava utilizadores de Mac e uma pesquisa em inglês, mas os anúncios de motores de busca aparecem em qualquer país e a técnica repete-se com outros programas. Alguns cuidados reduzem muito o risco:

• Para instalar uma aplicação, escreve tu o endereço do fabricante ou usa a loja de aplicações do sistema, em vez de clicares num resultado marcado como patrocinado.
• Desconfia de um anúncio cujo domínio não é o da marca que procuras, mesmo que seja um nome conhecido.
• Não coles no Terminal nem na linha de comandos um comando copiado com um botão de uma página web. Se precisares mesmo de o fazer, cola-o primeiro num editor de texto e confirma que é igual ao que viste.

Se colaste um comando de uma página assim nos últimos dias, parte do princípio de que o computador pode estar comprometido: muda as palavras-passe a partir de outro aparelho e pede ajuda para verificar a máquina. A Push Security publicou os domínios envolvidos no seu relatório.

ClickFixMalwareClaudemacOSPublicidade online