O comando que apareceu na tela era o oficial da Anthropic. O que foi para a área de transferência, não

A cadeia, passo a passo

1. A vítima busca por algo como claude mac no Google e clica no resultado patrocinado. O domínio exibido no anúncio é bing.com.
2. O redirecionamento do anúncio entrega o navegador a um link de rastreamento de cliques do Bing, no formato bing.com/ck/a, com o destino em base64 no parâmetro de URL.
3. O Bing encaminha por uma página curta de JavaScript, não por redirecionamento HTTP. Por isso a requisição volta com código 200 e o navegador chega ao destino carregando bing.com como referenciador.
4. O destino é a página "quem somos" de uma varejista sul-americana de homeopatia, aparentemente comprometida. Quem chega por ali recebe um 302 para a página falsa de download.
5. A página falsa exibe a marca, mostra o comando legítimo e coloca outro na área de transferência.

O comando colado começa com um echo que imprime "Downloading Claude" junto da URL oficial de instalação. No terminal, a primeira linha da saída parece correta. O endereço real da carga está guardado em base64 e só é decodificado em tempo de execução, com openssl base64 -d -A, de modo que o domínio do payload nunca aparece em texto claro. O resultado do curl vai direto para o zsh, sem passar pelo disco.

A Push rastreia o conjunto como um kit criminoso que chama de AcSig, nome que vem dos cabeçalhos assinados com HMAC exigidos para que o servidor devolva o comando malicioso. Todos os domínios ligados usam o mesmo comando de macOS, o mesmo formato de URL de carga e o mesmo código de janela de instalação.

Duas camadas de ocultação, e o que elas revelam

O site invadido só serve o 302 se a requisição vier com referenciador do Bing e certos cabeçalhos de navegador. A página falsa, por sua vez, roda uma checagem de document.referrer em JavaScript: quem não vem de Google ou Bing é mandado para /404.html.

Visitar o site invadido a partir do próprio Bing também entregava a página maliciosa, o que a Push avalia como efeito colateral não intencional. A leitura razoável é que o alvo primário é quem usa a busca do Google, e o Bing entrou como fachada de domínio.

Esse detalhe é o que torna a técnica incômoda para quem revisa anúncio. O anúncio mostra bing.com. A revisão automática de URL vê bing.com. A reputação de bing.com é impecável. O destino escondido é uma loja invadida, e a página final nem precisa ser alcançável sem o referenciador certo.

A outra campanha: GPT personalizado em vez de página falsa

O segundo agrupamento troca o site falso por um GPT personalizado publicado em uma URL estável de chatgpt.com. As instruções escondidas fazem o GPT devolver um aviso de indisponibilidade de serviço, com um link para uma página no sites.google.com, qualquer que seja a pergunta. A Push observou o GPT com mais de 10 mil conversas.

Na página do Google Sites entra o ClickFix clássico: cole isto na janela Executar do Windows. O comando chama o PowerShell com -ExecutionPolicy Bypass e usa irm para baixar um script por HTTP simples de um endereço IP escrito em decimal, 2549127135, forma que escapa de filtro que procura IP com pontos e não se parece com endereço web. O script é salvo na pasta temporária e executado na hora.

As URLs mais recentes seguem uma convenção de nome que vale colocar em regra de caça: caminhos do tipo /view/antibot- seguidos de número, no sites.google.com.

A diferença entre o chat compartilhado e o GPT personalizado não é técnica, é psicológica. No chat compartilhado a vítima lê uma conversa de outra pessoa. No GPT personalizado ela interage, faz a pergunta, recebe resposta e só então leva o aviso de erro. Já investiu atenção. O mesmo truque de custo afundado aparece em versões que só mostram o ClickFix depois que o usuário sobe um arquivo.

O tamanho disso

Nenhum desses dois agrupamentos é grande por conta própria. O que importa é a categoria em que eles entram.

A técnica tem identificador próprio no ATT&CK desde março de 2025, como subtécnica de execução pelo usuário. Deixou de ser curiosidade há bastante tempo.

Vale olhar também o histórico do mesmo tipo de isca com marca de IA. Entre 8 de abril e 14 de junho de 2026 a Trend Micro acompanhou uma campanha de anúncio malicioso que se passava por Claude, Codex, Perplexity, Cursor e JetBrains. Foram seis ondas, 106 nomes de host maliciosos e mais de 2,5 mil acessos registrados, com 82,8% do tráfego vindo de busca por ferramenta de desenvolvimento com IA. O carregador chegava por curl com base64 e entregava um ladrão de credencial de macOS que levava senha e cookie de navegador, chave SSH e arquivo de carteira de criptomoeda. A partir da quinta onda os operadores abandonaram as páginas próprias e passaram a hospedar a isca em conversas compartilhadas do claude.ai, com certificado válido e domínio legítimo.

O elo latino-americano é o de sempre, e é o nosso

Nenhum dos relatórios traz recorte de vítima na América Latina. O papel da região nesta campanha é outro, e é pior de resolver: o salto do meio é um site de uma varejista sul-americana. Uma loja pequena, com WordPress ou equivalente desatualizado, que não foi atacada por ter dado de cliente, e sim por ter domínio com reputação boa e certificado em ordem.

Esse é o insumo escasso do ClickFix hoje. A carga é barata, o kit é alugado, o anúncio se compra. O que custa é um domínio no qual o navegador confia. Em 2026 esse domínio vem, com frequência, de pequena e média empresa da região, que descobre o problema quando o cliente reclama ou quando o site entra em lista de bloqueio. Campanhas externas já somaram mais de 5,4 mil sites de pequenas empresas comprometidos, de mais de 2,2 mil organizações, e levantamentos de 2026 contaram mais de 17 mil URLs infectadas servindo falsa verificação de navegador, cerca de 3 mil ainda ativas.

Para quem responde por um site institucional pequeno, a conclusão prática não é sobre risco próprio. É sobre responsabilidade de terceiro: o seu domínio pode estar sendo usado como etapa de entrega de malware para a máquina de um desenvolvedor do outro lado do mundo, e você não vai receber aviso nenhum.

O que fazer nesta semana

• Bloquear a instalação de ferramenta de IA por comando colado. Publicar um caminho interno único, com pacote assinado e versão fixada, e tratar qualquer tutorial de internet como não autorizado. Isso é política, não detecção.
• Parar de confiar em conferência visual de comando. A orientação de "leia antes de colar" não resolve este caso, porque o que está na tela não é o que está na memória. O controle que funciona é no evento de cola, no navegador, ou no bloqueio de execução de interpretador chamado por janela Executar.
• Alertar em terminal de estação que dispare curl ou irm com saída canalizada para interpretador, e em uso de openssl base64 -d dentro de linha de comando interativa. O padrão é curto e raro em uso legítimo.
• Caçar IP em formato decimal em linha de comando e em registro de proxy. É o tipo de evasão que passa inteira por regra escrita para endereço com ponto.
• Tratar sites.google.com e chatgpt.com como superfície de entrega, não como domínio de confiança. Caminho com antibot no sites.google.com é indicador suficiente para investigação.
• Verificar o próprio site institucional: arquivo de plugin que não aparece na lista de plugins, conta de administrador criada por script, resposta dinâmica com carregador injetado. Foi assim que o site da varejista entrou na cadeia.
• Em máquina de desenvolvedor comprometida por esse caminho, assumir vazamento de senha e cookie de navegador, chave SSH e arquivo de configuração de ferramenta de IA. Rotacionar nessa ordem, e só depois reinstalar.

Por que isso não vai diminuir

A adoção de ferramenta de IA dentro das empresas corre mais rápido do que a aprovação dessas ferramentas. Enquanto essa diferença existir, o caminho natural de instalação vai ser o buscador, e o buscador é onde a isca está. O atacante não precisa de falha de software nem de credencial roubada. Precisa de alguém com pressa, uma linha de comando e permissão para colar.

O que mudou em 2026 foi a qualidade da fachada: domínio de buscador no anúncio, certificado válido no salto do meio, comando correto na tela. Não sobrou quase nada para o usuário conferir. É por isso que esse tipo de ataque deixou de ser problema de treinamento e passou a ser problema de controle técnico.