Como funciona o ataque
Ao contrário do phishing tradicional que apenas tenta roubar passwords, este método utiliza engenharia social para fazer com que o utilizador execute comandos no seu próprio sistema. Ao aceder a um site comprometido, surge um ecrã de verificação visualmente idêntico ao da Cloudflare. No entanto, ao clicar no botão de verificação, o site alega um erro e instrui o utilizador a seguir estes passos:
Pressionar a combinação de teclas Windows + R.
Colar um comando (código PowerShell) que foi automaticamente copiado para a área de transferência.
Pressionar Enter para "validar" a ligação.
Este processo ignora as defesas do browser, pois o código é executado diretamente no sistema operativo, permitindo a instalação de stealers de informação que capturam cookies de sessão, passwords guardadas e carteiras de criptomoedas.
Sinais de alerta e medidas de proteção
A Cloudflare nunca solicita aos utilizadores que executem comandos manuais, abram a consola do Windows ou colem código para validar uma visita a um site. As verificações legítimas (como o sistema Turnstile) são automáticas ou requerem apenas uma interação simples dentro da janela do browser.
Para evitar ser vítima deste esquema, os especialistas recomendam:
- Desconfie de Instruções Inabituais: Se um site pedir para usar atalhos de teclado (como Win+R ou CTRL+V) para "verificar a identidade", feche o separador imediatamente.
- Não Execute Comandos Desconhecidos: Nunca cole código no terminal ou na janela "Executar" que tenha sido copiado de uma página web.
- Mantenha o Software de Segurança Ativo: Soluções de proteção de endpoint atualizadas conseguem, muitas vezes, detetar e bloquear a execução destes scripts maliciosos de PowerShell.
Este novo método de ataque demonstra que os cibercriminosos estão a abandonar as táticas de "clique fácil" em favor de manipulações mais complexas que exploram a falta de conhecimento técnico dos utilizadores. Ao mimetizar um serviço tão onipresente como a Cloudflare, os atacantes conseguem baixar as defesas psicológicas das vítimas, transformando uma ferramenta de segurança numa porta de entrada para o crime.
Numa era onde o browser é a nossa principal janela para o mundo, é vital recordar que a segurança digital não depende apenas de software, mas também do ceticismo informado. Nenhuma plataforma legítima exigirá que o utilizador execute comandos no sistema operativo para validar uma simples visita. A regra de ouro permanece: na dúvida, interrompa a ação e nunca execute código que não compreenda totalmente.
