No dia 24 de setembro de 2026, foi revelado que o domínio third-party.com, usado por anos como um placeholder em documentação de desenvolvimento, agora serve como vetor para ataques ClickFix, especificamente direcionados a usuários do sistema operacional Windows. O domínio, que não é reservado pelo IANA, foi reconfigurado para exibir uma página de verificação falsa do Cloudflare, que induz os visitantes a copiar e executar comandos maliciosos.
Os ataques ClickFix ocorrem quando os usuários são enganados a executar comandos que parecem ser necessários para resolver problemas técnicos fictícios. Neste caso, ao clicar em um botão de verificação, o site copia um comando PowerShell malicioso para a área de transferência e instrui o usuário a colá-lo e executá-lo na janela de execução do Windows (Win + R). O comando, uma vez executado, baixa e executa um payload adicional, como relatado por Verisq.
A técnica de ClickFix, que utiliza engenharia social, depende de distrair os usuários com mensagens visuais, como CAPTCHAs fraudulentos, enquanto um comando malicioso é silenciosamente copiado. O ataque foi identificado desde junho de 2026 e está sendo amplamente explorado em mais de 1.700 repositórios públicos no GitHub, conforme documentado pelo Daily.
Quando usuários de macOS ou Linux acessam o mesmo site, eles recebem uma mensagem de erro informando que o site não é compatível, evitando assim que o ataque seja detectado por verificações comuns feitas em sistemas não-Windows. Essa abordagem permite que o ataque evite inspeções casuais, uma vez que não entrega conteúdo malicioso a esses sistemas, conforme observado por Ucr.
O impacto dessa exploração é significativo, pois desenvolvedores e organizações que utilizam o domínio third-party.com em sua documentação podem inadvertidamente expor seus sistemas a ataques. A falta de uma reserva de domínio torna este tipo de placeholder vulnerável a abusos, como destacado por especialistas em segurança, que recomendam a substituição de domínios não reservados por alternativas seguras como example.com.
Além disso, a campanha ClickFix revela a necessidade de programas contínuos de conscientização sobre segurança e políticas de controle que impeçam a execução de comandos não verificados. As organizações devem implementar medidas como o treinamento de usuários e a aplicação de políticas de execução do PowerShell para mitigar riscos associados a esse tipo de ataque, conforme sugerido pelo Cyberseer.
O cenário atual levanta preocupações sobre a segurança dos desenvolvedores que utilizam placeholders em suas documentações e a necessidade de vigilância contínua contra ameaças emergentes. O próximo passo esperado é que as equipes de segurança intensifiquem a auditoria de suas documentações e implementem práticas recomendadas para prevenir a exploração de domínios semelhantes.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews