ClickFix no navegador usa Google Sheets como C2 para roubar cripto

A Cisco Talos publicou em 8 de setembro de 2026 a análise de uma campanha criminosa que vinha operando há quase um ano sem chamar atenção. Assinado pelo pesquisador Sean Gallagher, o relatório descreve um esquema de roubo de criptomoedas que abandona o caminho tradicional do malware — nada de executável baixado, nada de PowerShell rodando no sistema operacional. Em vez disso, os operadores convencem a própria vítima a colar um trecho de JavaScript dentro do navegador, e é ali que todo o ataque acontece.

O detalhe que dá nome ao caso é o canal de comando e controle (C2). O script injetado busca sua carga útil em uma planilha do Google Sheets publicada na web, usando uma interface pouco lembrada chamada Google Visualization API. Para qualquer ferramenta de monitoramento de rede, o tráfego resultante é apenas mais uma requisição HTTPS do Chrome para docs.google.com — indistinguível do uso corriqueiro do Google Docs dentro de uma empresa.

Para o Plugged Ninja, o ponto relevante não é o prejuízo direto das vítimas, que a Talos estima em valor modesto. É a técnica: ela combina engenharia social do tipo ClickFix com web skimming clássico e abuso de serviço legítimo, e essa combinação é facilmente reaproveitável contra alvos muito maiores.

O que é ClickFix e por que esta variação importa

ClickFix é o nome dado a uma família de golpes de engenharia social em que o atacante não entrega um arquivo malicioso: ele entrega uma instrução. A página exibe uma falsa mensagem de erro, um falso teste de verificação humana ou um falso tutorial, e pede que o usuário copie um comando e cole em algum lugar — normalmente na janela “Executar” do Windows ou em um terminal. Quem executa o comando baixa e roda o malware por conta própria, o que contorna boa parte dos controles que dependem de inspecionar downloads.

O Plugged Ninja já cobriu diversas variantes dessa técnica, de campanhas para macOS a trojans bancários voltados à América Latina. A campanha descrita agora pela Talos muda o destino do “cole aqui”: em vez do sistema operacional, o alvo é a sessão do navegador. A vítima cola JavaScript precedido de javascript: na barra de endereços do Chrome, ou instala a extensão legítima Tampermonkey e adiciona o script lá dentro.

Essa diferença tem consequências práticas. Um comando de terminal deixa rastro em logs de processo, em telemetria de EDR e em histórico de shell. Um script colado na barra de endereços do navegador executa no contexto da página aberta e não gera nenhum processo novo. Quando o vetor é o Tampermonkey, o código passa a ser recarregado automaticamente a cada visita ao site alvo — ou seja, ganha persistência sem tocar em nenhum mecanismo de inicialização do sistema.

A isca: um “zero-day” que nunca existiu

A engenharia social da campanha é incomum porque não mira o usuário desatento. Ela mira quem está disposto a fraudar.

Segundo a Talos, a isca circula em forma de um documento do Google Docs formatado como relatório de vulnerabilidade, com nome de arquivo “API Logic Flaw”. O texto descreve uma suposta falha de API em serviços de troca (swap) de criptomoedas que renderia pagamentos maiores ao usuário. Na primeira versão observada, ativa entre 12 e 16 de abril de 2026, o alvo era o site SwapZone e a promessa era de “cerca de 38% a mais” no retorno das operações. A partir de 18 de abril, o documento foi reescrito para apontar ao SimpleSwap, com a promessa de um bônus de fidelidade de 25%.

A distribuição das iscas passou por canais que reforçam esse perfil de alvo: um canal no Telegram criado em janeiro de 2026, mensagens diretas e postagens em fóruns de crime cibernético como o DarkForums, e comentários em sites de compartilhamento de texto como o Pastebin, em ondas de pelo menos duas por mês. O canal do Telegram só aceita publicações do administrador, e as mensagens antigas são apagadas a cada nova versão da isca — o que dificulta perceber que se trata do mesmo “exploit” fictício sendo republicado indefinidamente. Um dos comentários no Pastebin recomendava não tentar mais de uma transação por dia, orientação que, na avaliação da Talos, servia para induzir a vítima a arriscar um valor alto de uma só vez e justificar a ausência de qualquer transação concluída.

Como o Google Visualization API vira canal de C2

O Google Visualization API existe desde 2008 e é uma funcionalidade legítima do Google Docs. Ele oferece leitura pública, sem autenticação, do conteúdo de qualquer planilha do Google Sheets publicada na web, por meio de consultas embutidas na própria URL. A linguagem de consulta lembra SQL, e a resposta volta em JSON ou como tabela HTML, pronta para ser processada por JavaScript.

A requisição segue o formato https://docs.google.com/spreadsheets/d/[identificador]/gviz/tq?[consulta]. O script de primeiro estágio colado pela vítima monta essa URL, solicita duas células específicas de uma planilha controlada pelos criminosos, concatena os blocos de JavaScript recebidos e injeta o resultado na sessão do navegador. A API é somente leitura, então não permite escrita direta — mas a Talos observa que um formulário do Google conectado à planilha permitiria enviar dados de volta por requisição POST, fechando um canal bidirecional dentro de um domínio confiável.

Para dificultar a análise, os operadores formataram o texto das células com fonte branca sobre fundo branco e foram empurrando as linhas relevantes para baixo a cada revisão, de modo que só uma busca textual ou a própria consulta via API revelaria o conteúdo. A Talos coletou 21 amostras distintas de carga útil de segundo estágio. Quase todas usavam o mesmo esquema de ofuscação: o script funcional convertido em arrays de pares hexadecimais codificados com XOR, cercados de operações matemáticas inúteis para esconder a chave. A cada revisão mudavam a chave XOR e os nomes de variáveis e funções, gerando assinaturas diferentes — mas o comportamento do código permanecia o mesmo.

O que o script faz na página da vítima

Reconstruído na memória do navegador, o segundo estágio se comporta como um web skimmer. A Talos descreve quatro ações principais:

• Manipulação de DOM e interface. O script usa um MutationObserver para acompanhar mudanças na página e substituir os endereços de depósito exibidos. Ele também altera os valores mostrados na tela para que a vítima acredite ter recebido o “bônus” prometido, e renderiza elementos de interface falsos que simulam a tal funcionalidade oculta.
• Interceptação de rede. O script sobrescreve a API fetch do navegador para inspecionar e modificar as respostas relacionadas a carteiras e depósitos. Quando uma resposta JSON traz um endereço de depósito legítimo, ele é trocado por um endereço controlado pelo atacante.
• Sequestro de área de transferência. Ao copiar um endereço de depósito, a vítima recebe na área de transferência um endereço do criminoso, sorteado de uma lista rotativa de endereços Bitcoin no formato Bech32 embutida no código.
• Persistência. Varreduras periódicas do DOM garantem que as substituições sobrevivam às atualizações da página; na segunda versão da campanha, o Tampermonkey acrescenta persistência entre sessões.

Vale registrar o que a Talos deixa explícito: a substituição atinge tanto o que aparece na tela quanto o que volta do servidor e o que vai para a área de transferência. Conferir o endereço no navegador não protege a vítima, porque é exatamente essa camada que foi comprometida.

Quanto rendeu e por que é difícil derrubar

A Talos identificou 49 endereços Bitcoin usados na campanha. A maior parte das amostras desofuscadas entre abril e o fim de junho usava um conjunto idêntico de 30 endereços; destes, 24 receberam fundos de vítimas, somando 0,159 BTC — cerca de US$ 10 mil pelos valores do início de agosto de 2026. A própria empresa afirma que o total real deve ser maior, já que não conseguiu obter amostras anteriores a abril nem necessariamente todas as carteiras usadas nas variantes.

Os fundos foram encaminhados por mais 30 carteiras e depois movimentados em transações complexas envolvendo mais de 3.000 endereços adicionais, comportamento compatível com serviços de mistura (mixing) de bitcoin.

A tentativa de derrubada é instrutiva. Em abril, a Talos comunicou os sites afetados e o Google, e os documentos usados como isca e como C2 foram bloqueados; uma semana depois a operação estava de volta, com nova planilha e novo script. Em julho, o administrador do paste.sh passou a detectar automaticamente scripts com a assinatura do primeiro estágio, e os operadores responderam movendo tudo para documentos do Google. Segundo a Talos, em 11 de agosto os documentos haviam sido reportados novamente e ainda continuavam ativos.

O risco real está no reaproveitamento da técnica

A Talos é direta ao dizer que esta campanha específica não representa ameaça significativa para a maioria das organizações — o público-alvo é restrito e a motivação da vítima é ela própria cometer fraude. O alerta é sobre o que a técnica permite em outras mãos.

Ataques de web skimming como os do Magecart normalmente dependem de comprometer a cadeia de suprimentos: infectar uma dependência de terceiros, um pacote npm, um serviço externo embutido na página. Com o crescimento desse tipo de comprometimento — a Talos cita a atuação de grupos que revendem acesso a outros criminosos —, a combinação demonstrada aqui ganha alcance. Um atacante com acesso a uma base de código amplamente usada poderia alterar seletivamente o comportamento da interface de aplicações web recebendo instruções de um documento do Google, tráfego que o defensor tenderia a classificar como legítimo. O mesmo vale para extensões: uma atualização discretamente corrompida de um plugin existente, buscando comandos em uma planilha pública, tornaria a detecção por telemetria de rede consideravelmente mais difícil.

As limitações do que se sabe merecem registro. A Talos não atribui a campanha a um grupo específico, não afirma que a técnica já tenha sido usada em ataques de cadeia de suprimentos, e o valor total desviado não pode ser determinado com precisão. Esses são cenários de risco projetados a partir da capacidade observada, não incidentes confirmados.

Recomendações práticas

As medidas sugeridas pela Talos para organizações são:

• Gerenciar os navegadores dos usuários, limitando por função o acesso a funcionalidades de nível de desenvolvedor e a instalação de extensões. Extensões de userscript como o Tampermonkey têm uso legítimo, mas dificilmente precisam estar disponíveis para todo o parque.
• Monitorar requisições HTTP para docs.google.com vindas de aplicações desconhecidas ou em sessões de navegador que não apresentam nenhuma outra atividade compatível com uso do Google Docs.
• Testar e higienizar dependências de terceiros nas aplicações web voltadas a funcionários e clientes, procurando scripts ofuscados fora de contexto no código JavaScript.
• Orientar funcionários e clientes sobre engenharia social e, especificamente, sobre o risco de colar código em barra de endereços, console do navegador ou extensões.

Para usuários finais que operam com criptomoedas, vale acrescentar uma prática que independe desta campanha: conferir o endereço de destino em um canal separado do navegador que originou a transação — na tela do dispositivo de hardware wallet, por exemplo — já que a substituição descrita aqui atinge simultaneamente a tela, a resposta da API e a área de transferência.

Conclusão

O caso documentado pela Talos mostra uma tendência que vinha sendo desenhada há algum tempo: o navegador deixou de ser apenas o ponto de entrada e passou a ser o ambiente completo de execução do ataque. Não há binário para assinar, processo para correlacionar ou domínio novo para bloquear — há JavaScript rodando dentro de uma aba, buscando instruções em um serviço que praticamente toda empresa usa.

O que observar a seguir é se a técnica migra do nicho de golpes com criptomoedas para alvos de maior escala, especialmente via comprometimento de dependências ou de extensões de navegador. Também vale acompanhar como Google e serviços de compartilhamento de texto ajustam seus mecanismos de detecção: até a última verificação relatada pela Talos, em agosto de 2026, os documentos usados na campanha seguiam no ar mesmo após denúncias repetidas.

Fontes e referências

• Cisco Talos — “ClickFix moves into the browser: Cryptocurrency theft with Google-hosted C2”, por Sean Gallagher (8 de setembro de 2026): blog.talosintelligence.com
• BleepingComputer — “Pastebin comments push ClickFix JavaScript attack to hijack crypto swaps”: bleepingcomputer.com
• SiliconANGLE — “ClickFix moves into the browser and onto WebDAV, Cisco Talos finds” (8 de setembro de 2026): siliconangle.com
• Google — Documentação da Query Language do Google Visualization API: developers.google.com
• Tampermonkey — site oficial da extensão: tampermonkey.net