A ClickFix cluster: Observed activity from recent ClickFix campaigns

A equipe de segurança do Field Effect observou campanhas recentes que utilizam a técnica ClickFix, empregando três estratégias diferentes para criar uma presença inicial nos sistemas-alvo. Estas atividades compartilham características comuns como o carregamento secundário de DLLs e a utilização de convenções padronizadas em nomes de arquivos, além de depósitos C2.

Em junho de 2026, os pesquisadores do Field Effect descobriram um ataque que empregava pacotes MSI hospedados remotamente para distribuir payloads maliciosos. Esses pacotes continham software legítimo usado como veículos para a injeção secundária de DLLs infectadas.

Uma segunda campanha, observada em junho do mesmo mês, usou NodeJS para executar scripts JavaScript que baixavam utilitários .NET e DLLs maliciosas. Essa técnica também resultava na criação de tarefas agendadas como mecanismos de persistência.

Em julho, uma terceira campanha utilizou um script PowerShell para instalar o Python 3.5 em sistemas-alvo, a fim de ocultar e executar payloads maliciosos. Os scripts eram hospedados em sites WordPress comprometidos e empregavam técnicas de engenharia social para persuadir vítimas a copiar e executar comandos PowerShell.

A equipe do Field Effect rapidamente isolou os endpoints afetados após identificar o comportamento suspeito. O uso de táticas como DLL sideloading, manipulação de C2 e engenharia social complexa destaca a crescente sofisticação dos ataques ClickFix.

As campanhas mencionadas compartilham características com outras observadas anteriormente, como a campanha TerminalFix descrita pelo Microsoft Security Blog em agosto de 2026. Isso indica uma tendência contínua de refinamento e adaptação da técnica pelos atores adversários.

Para mitigar o risco dessas ameaças, as organizações devem manter sistemas atualizados, implementar princípios Zero Trust e utilizar ferramentas capazes de detectar comportamentos suspeitos. Os pesquisadores do Field Effect recomendam uma abordagem proativa para proteger-se contra tais campanhas.