Malware de atualização falsa do navegador e captcha falso que mira usuários de cripto

Ataques de captcha falso e de atualização falsa do navegador enganam você para que instale o malware por conta própria: um site mostra uma caixa convincente de “confirme que você é humano” ou um aviso de “atualize seu navegador” e, em seguida, instrui você a baixar um arquivo ou colar um comando no computador, o que instala um software que rouba dados de carteiras de cripto, senhas e sessões do navegador. Um captcha ou uma atualização de navegador verdadeiros nunca pedem que você abra uma janela de comando ou execute um arquivo baixado de um site qualquer.

Usuários de cripto são alvos preferenciais porque um único computador infectado pode expor arquivos de hot wallets, frases-semente guardadas em notas, sessões de corretoras e gerenciadores de senhas. Este guia explica como esses ataques funcionam, os sinais de alerta e o que fazer se você acha que executou um.

Como funciona o truque do captcha falso

Essa técnica, muitas vezes chamada de “ClickFix” por pesquisadores de segurança, transforma a vítima no instalador.

1. 1Você cai em uma página — talvez um blog hackeado, um visualizador de documentos falso, um site de software pirata ou um link enviado no chat de uma comunidade cripto.
2. 2Aparece uma verificação de aparência familiar, no estilo de um serviço de captcha conhecido, dizendo que você precisa confirmar que é humano.
3. 3Quando você clica na caixa, a página copia silenciosamente um comando malicioso para a sua área de transferência.
4. 4Novas instruções aparecem: no Windows, “pressione Windows + R, depois Ctrl + V, depois Enter”; no Mac, uma variante pode pedir que você abra o Terminal e cole.
5. 5Você executa o comando sem vê-lo por inteiro. Ele baixa e inicia o malware em segundo plano.
6. 6A página pode dizer “verificação concluída” e deixar você continuar, de modo que nada parece errado.

O truque funciona porque contorna muitas proteções do navegador: é você, e não o site, quem executa o programa.

Como funcionam os ataques de atualização falsa do navegador

O primo mais antigo dos captchas falsos é o banner de atualização falso:

• Um site comprometido ou malicioso sobrepõe uma mensagem em tela cheia dizendo que seu navegador está desatualizado ou que uma página não pode ser exibida sem uma atualização.
• A página imita a identidade visual do seu navegador e oferece um botão de download.
• O arquivo é malware, muitas vezes disfarçado de instalador ou de arquivo compactado contendo um script.

Navegadores reais se atualizam automaticamente ou por meio de atualizações do sistema. Você nunca precisa baixar uma atualização de navegador de um site que por acaso estava visitando.

O que o malware rouba

A maioria dessas campanhas distribui ladrões de informações (infostealers) — malware que coleta rapidamente dados valiosos e os envia ao atacante. Para usuários de cripto, isso pode incluir:

Como os ladrões agem em segundos, as perdas podem acontecer antes que você perceba algo incomum.

Um exemplo hipotético

O que segue é uma ilustração composta, não um caso real.

Imagine Alex, que procura uma ferramenta gratuita de gráficos e abre um site de downloads. Aparece uma caixa de captcha. Depois de clicar nela, Alex é instruído a pressionar Windows + R e colar para “concluir a verificação”. Parece estranho, mas o site tem aparência profissional. Algumas horas depois, a carteira de navegador de Alex está vazia e uma conta em uma corretora mostra uma tentativa de saque. O ladrão havia copiado os dados criptografados da carteira, as senhas salvas e os cookies de sessão poucos minutos depois de ser executado.

Lista de sinais de alerta

• Um “captcha” pede que você use atalhos de teclado, abra Executar, Terminal ou PowerShell, ou cole qualquer coisa.
• Um site, e não o seu navegador, diz que você precisa baixar uma atualização.
• Um download chega como script, atalho ou tipo de arquivo incomum, em vez de um instalador normal do fornecedor oficial.
• A página apareceu após um redirecionamento de um site que você não esperava ou de um anúncio de busca.
• Um link em uma conversa no Discord, Telegram ou X leva a uma etapa de “verificação”.
• Seu navegador ou antivírus alerta sobre o arquivo e a página diz para você ignorar o alerta.

Como se proteger

1. 1Nunca cole comandos que você não entende, especialmente vindos de uma página da web.
2. 2Atualize softwares apenas por fontes oficiais: o menu de configurações do navegador, a ferramenta de atualização do sistema operacional ou o site oficial do fornecedor.
3. 3Mantenha as frases-semente offline. Nunca as guarde em apps de notas, capturas de tela ou documentos na nuvem. Veja como fazer backup de uma frase-semente do jeito certo.
4. 4Use uma carteira de hardware para valores relevantes, para que as chaves privadas nunca fiquem no seu computador.
5. 5Use um gerenciador de senhas com uma senha mestra forte e ative 2FA por aplicativo ou por chave física em corretoras e no e-mail.
6. 6Separe as atividades: considere um dispositivo ou perfil de navegador dedicado a cripto, que você não use para downloads nem para navegar em sites aleatórios.
7. 7Cuidado com anúncios de busca de softwares e ferramentas cripto; nosso guia sobre phishing por anúncios de busca explica o porquê.

O que fazer se você executou

1. 1Desconecte o dispositivo infectado da internet.
2. 2A partir de um dispositivo limpo, crie uma nova carteira com uma nova frase-semente e mova os fundos de qualquer carteira que estava no computador infectado. Siga o que fazer imediatamente se sua carteira for comprometida.
3. 3Troque as senhas do e-mail, das corretoras e do seu gerenciador de senhas, começando pelo e-mail, e encerre todas as sessões ativas.
4. 4Revogue as aprovações de tokens de qualquer carteira afetada que você continue usando.
5. 5Formate e reinstale o computador infectado, ou peça a um profissional que faça isso; remover ladrões de informações manualmente não é confiável.
6. 6Denuncie o site malicioso na ferramenta de denúncia de navegação segura do seu navegador e para nós, pelo nosso formulário de denúncia.

Conclusão

Captchas falsos e atualizações falsas dão certo porque fazem você mesmo executar o malware. Nenhuma verificação real pede que você cole um comando, e nenhum navegador real precisa de um download vindo de uma página qualquer. Mantenha as chaves longe dos computadores do dia a dia, atualize apenas por fontes oficiais e, se você caiu no golpe, aja rápido a partir de um dispositivo limpo.