Google acrescenta defesa no Chrome contra ClickFix: detecta comandos copiados para a área de transferência e adverte

Google anunciou na terça-feira que incorporará novas defesas no Chrome para mitigar uma técnica de engenharia social conhecida como ClickFix, em que atacantes convencem vítimas de colar e executar comandos malignos na consola do Windows ou Terminal do macOS. De acordo com a empresa, essas melhorias são ativadas quando o usuário tem a opção activa Proteção melhorada (Enhanced Protection) e apontam para detectar e bloquear comandos suspeitos copiados para a área de transferência antes que o utilizador carregue em Enter e desencadeie a cadeia de infecção.

Os fatos confirmados pelo Google são estes: ClickFix redirige a navegantes a páginas que fingem verificações legítimas (por exemplo, reCAPTCHA do Google ou Cloudflare) ou mostram supostos erros, e pedem ao usuário que copie e execute um comando no quadro Executar do Windows ou Terminal para “arreglar” o problema. Ao executar, esses comandos costumam invocar ferramentas do próprio sistema —PowerShell, cmd.exe ou outros "living-off-the-land" (LotL) — para baixar e executar cargas úteis posteriores como troianos de acesso remoto ou ladrões de informação. O Chrome irá agora detectar comandos potencialmente perigosos copiados por utilizadores com o Enhanced Protection, “limpiará” os dados pessoais do conteúdo da área de transferência e enviar o resto para a Safe Browsing para a sua análise; se a Safe Browsing determinar que é malicioso, irá mostrar um aviso ao utilizador.

Tecnicamente, a efetividade do ClickFix reside em sair do canal protegido do navegador e levar a descarga e execução ao contexto do sistema operacional. As defesas clássicas do navegador (listas negras de downloads, verificação de integridade em downloads HTTP/HTTPS) não se aplicam se o navegador só serviu como vetor para instruir o usuário a executar manualmente algo fora do processo de descarga do navegador. Os atacantes exploram a confiança e a urgência: pedem copiar comandos que usam PowerShell ou curl/wget para baixar um payload a partir de um URL controlado pelo atacante, muitas vezes encadeado com instruções para executar o binário baixado.

As contramedidas do Google são várias e distintas entre si. A função descrita mais especificamente é a detecção de comandos copiados para a área de transferência e o envio - após a remoção de dados pessoais - a Safe Browsing para uma análise que pode resultar em aviso. O Google acrescenta também uma taxonomia de advertências (sites “Sospechosos” vs. “Peligrosos”) e o uso de modelos LLM no dispositivo para identificar páginas com alta probabilidade de fraude técnica. A empresa indica que, quando envia texto fora do dispositivo, o faz de forma efímera e sem o reter para treinamento, e que a proteção de verificação de anunciantes financeiros se expandirá nos EUA. EUA e Canadá para reduzir a suplantação em anúncios.

O confirmado: o Google implementa estas funções dentro do Chrome e limita usuários com o Enhanced Protection; a Apple por sua vez informou em paralelo medidas no Safari/WebKit para bloquear o que chama de “identity resolution”, um método diferente de rastreamento que associa e-mails com identificadores persistentes. O que resta no terreno da estimativa ou incerteza: a eficácia real no campo frente a campanhas adaptadas, a taxa de falsos positivos/negativos da detecção automática, e até que ponto os atacantes mudarão de tática (por exemplo, converter comandos em imagens ou pedir um manual completo) para esquivar a inspeção da área de transferência.

Implicações práticas: qualquer usuário que receba instruções por uma web, anúncio ou chamada para executar um comando no seu sistema está em risco; os atacantes podem alcançar tanto consumidores como empresas. Para organizações, o ClickFix é atraente porque pode burlar controles de navegação tradicionais e apontar estações de trabalho com privilégios suficientes para baixar e executar código. A verificação de anunciantes financeiros busca reduzir um canal (anuncios maliciosos) usado para chegar a vítimas, mas não eliminará por si só as campanhas que se propagam por meios orgânicos ou sites comprometidos.

Recomendações concretas e verificáveis para leitores e administradores: primeiro, Permite a proteção melhorada no Chrome se você já usa esse navegador - a opção está em Configurações > Privacidade e segurança > Serviços do Google e segurança -; o Google documenta Safe Browsing e as políticas relacionadas em seu portal para desenvolvedores (ver developers.google.com/safe-browsing) e nas páginas de ajuda do Chrome (por exemplo, Suporte do Chrome para proteção melhorada). Segundo, nunca pegue nem execute comandos no terminal que provem de janelas emergentes, anúncios, chats não verificados ou páginas que não pertençam a canais oficiais: confirme sempre a origem por canais independentes (teléfono oficial, site corporativo verificado). Terceiro, implemente controles técnicos em ambientes gerenciados: políticas de execução, AppLocker ou Microsoft Defender Application Control, restrições de PowerShell (Constrained Language Mode) e bloqueio de ferramentas LotL, bem como regras de EDR que alertem sobre processos filhos incomuns iniciados a partir de navegadores ou ferramentas de automação.

Para usuários preocupados com a privacidade da nova detecção: o Google afirma que elimina informações pessoais da área de transferência e realiza análises efêmeros; ainda assim, se preferir não enviar nada fora do dispositivo, a única garantia é não ativar a categoria de proteção melhorada ou rever a configuração de privacidade do Chrome. É preciso ter em conta que desativar essas proteções deixa o usuário mais exposto ao ClickFix e outras fraudes baseadas em conteúdo malicioso.

Finalmente, não esqueça que estas mitigações não são definitivas: os atacantes evoluem. É plausível que, após estas medidas, vejamos um aumento de táticas alternadas (imágenes com texto, instruções de tipeo manual, ataques via mensagens diretas) para evitar a inspeção automatizada do conteúdo copiado. A segurança efetiva combina ferramentas do navegador, controles de plataforma e, sobretudo, formação contínua dos usuários para que não “abran a porta” quando alguém o peça.

Ligações úteis para ampliar e configurar protecções: documentação da Safe Browsing do Google ( developers.google.com/safe-browsing) e o blog WebKit/Apple sobre privacidade web ( Webkit.org/blog), onde se detalham iniciativas para bloquear técnicas de acompanhamento como a resolução de identidade.