Nenhuma verificação de CAPTCHA legítima pede para você abrir o Terminal do Windows. É essa a única frase que precisa ficar na memória depois do alerta que a Microsoft publicou sobre o TerminalFix, uma técnica de invasão que dispensa falha de software e ataca o elo mais barato de qualquer rede: a disposição do usuário de seguir instruções na tela.
O roteiro é enganosamente simples. A vítima cai em uma página que reproduz com fidelidade a tela de verificação do Cloudflare, aquela que boa parte da internet já normalizou. Ao clicar em “não sou um robô”, o site copia silenciosamente um comando malicioso para a área de transferência e exibe um passo a passo dizendo que, para concluir a verificação, é preciso abrir o Terminal do Windows e colar o conteúdo. Quem obedece executa o ataque com as próprias mãos — e com as próprias permissões.
O que vem depois é bem mais elaborado do que a isca. A cadeia de infecção usa carregamento lateral de arquivos, esteganografia — códigos escondidos dentro de imagens PNG — e um programa legítimo do Windows acionado com um arquivo corrompido, tudo para não acender alertas óbvios. No fim, é instalado um túnel reverso customizado, com tarefas agendadas que reexecutam a cada 60 minutos e conexão criptografada disfarçada de tráfego web comum. O objetivo declarado nos casos observados é roubo de credenciais de administrador, extração de dados sigilosos e, na etapa final, ransomware.
O TerminalFix é a evolução do ClickFix, golpe que já rodava há algum tempo com a mesma lógica de fazer a vítima colar comandos. A diferença de mira é o que preocupa: o alvo aqui são funcionários de empresas, porque uma máquina corporativa infectada é ponto de partida para movimentação lateral dentro da rede. O alerta da Microsoft, assinado pelos pesquisadores Sagar Patil, Suriyaraj Natarajan e Parasharan Raghavan, saiu em 28 de agosto de 2026.
A defesa é mais administrativa do que técnica. Para quem cuida de TI, o caminho mais eficaz é restringir a execução de linha de comando por usuários comuns e treinar as equipes para reconhecer instruções desse tipo — nenhuma ferramenta legítima manda colar comando em terminal para provar que você é humano. Se a suspeita de infecção já existe, o procedimento é redefinir senhas administrativas imediatamente e investigar movimentação lateral e exposição de credenciais nas máquinas envolvidas. E para o usuário doméstico, a versão curta continua valendo: comando que você não escreveu não entra no seu terminal.
