# ClickFix: como um anúncio no Google com o endereço do Bing leva a um instalador falso do Claude

> Investigadores da Push Security encontraram um anúncio patrocinado para quem procurava o Claude para Mac que mostrava bing.com como destino e acabava numa página falsa. O botão de copiar punha na área de transferência um comando diferente do que estava à vista. Explicamos o esquema e como evitá-lo.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/clickfix-como-um-anuncio-no-google-com-o-endereco-do-bing-leva-a-um-instalador
- Categoria: Segurança
- Formato: Explicador
- Autoria: Redação
- Publicado: 14 de outubro de 2026
- Etiquetas: ClickFix, Malware, Claude, macOS, Publicidade online

## Em resumo

- A campanha foi detetada pela Push Security num anúncio do Google para a pesquisa "claude mac" e relatada a 9 de outubro.
- O anúncio mostrava o domínio bing.com e passava por um site WordPress comprometido antes de chegar à página falsa.
- A página exibia o comando de instalação verdadeiro da Anthropic, mas o botão de copiar colocava outro na área de transferência.
- O comando trocado descarregava e executava um ficheiro de um servidor dos atacantes; não se sabe que programa era instalado.
- A regra de defesa é não colar no Terminal comandos copiados de páginas a que chegaste por um anúncio.

Procurar um programa no Google e clicar no primeiro resultado é um gesto automático, e é com isso que contam os autores de uma campanha descrita a 9 de outubro pela empresa de segurança Push Security. Quem pesquisava "claude mac", à procura da aplicação do assistente de IA da Anthropic para computadores Apple, via um resultado patrocinado que parecia inofensivo e que terminava numa página de instalação falsa. O caso serve de exemplo de uma técnica chamada ClickFix, que a Push Security descreve como a mais usada hoje em ataques feitos através do browser.

## O que é o ClickFix

Num ataque ClickFix ninguém te pede para descarregar um ficheiro suspeito. A página apresenta um problema ou um passo de instalação e dá-te um comando para copiares e colares no Terminal do Mac ou na linha de comandos do Windows. És tu que executas o código, com as tuas permissões, e é por isso que funciona.

Na campanha agora analisada, a página imitava o site de transferência do Claude e mostrava o comando de instalação legítimo, o mesmo que a Anthropic publica. O truque estava no botão de copiar. Segundo o BleepingComputer, ao carregares nele ficava na área de transferência outro comando, que escrevia no ecrã uma mensagem a dizer que estava a descarregar o Claude do site oficial e, em silêncio, ia buscar um ficheiro a um servidor dos atacantes e executava-o. Não se sabe que programa era instalado no fim.

## Porque é que o anúncio parecia de confiança

O que torna este caso diferente é o caminho até à página falsa. O anúncio patrocinado não mostrava um endereço parecido com o da Anthropic: mostrava bing.com, o motor de busca da Microsoft. Os atacantes usaram como destino do anúncio uma ligação de resultado de pesquisa do Bing, daquelas que o motor usa para registar cliques antes de encaminhar o utilizador.

Essa ligação apontava para a página de um retalhista sul-americano cujo site WordPress tinha sido comprometido, e era esse site que enviava o visitante para o instalador falso. A Push Security diz não ter encontrado relatos públicos anteriores deste uso do Bing num anúncio de pesquisa. Pelo meio havia dois filtros: quem abrisse os endereços diretamente, sem vir do anúncio, recebia uma página de erro. Assim, as ferramentas automáticas que verificam ligações tinham mais dificuldade em ver o conteúdo malicioso.

Os investigadores identificaram vários outros domínios com o mesmo instalador e o mesmo comando, o que indica que a página do Claude é uma entre várias.

## Como te proteges

O esquema visava utilizadores de Mac e uma pesquisa em inglês, mas os anúncios de motores de busca aparecem em qualquer país e a técnica repete-se com outros programas. Alguns cuidados reduzem muito o risco:

- Para instalar uma aplicação, escreve tu o endereço do fabricante ou usa a loja de aplicações do sistema, em vez de clicares num resultado marcado como patrocinado.
- Desconfia de um anúncio cujo domínio não é o da marca que procuras, mesmo que seja um nome conhecido.
- Não coles no Terminal nem na linha de comandos um comando copiado com um botão de uma página web. Se precisares mesmo de o fazer, cola-o primeiro num editor de texto e confirma que é igual ao que viste.

Se colaste um comando de uma página assim nos últimos dias, parte do princípio de que o computador pode estar comprometido: muda as palavras-passe a partir de outro aparelho e pede ajuda para verificar a máquina. A Push Security publicou os domínios envolvidos no seu relatório.