A técnica foi inicialmente apresentada a 23 de junho de 2025 pelo investigador de segurança mr.d0x e, em menos de duas semanas, já estava a ser testada por grupos de ameaça conhecidos, como o KongTuke. Este grupo, com histórico de ataques a utilizadores de plataformas de criptomoedas, recorre frequentemente a estratégias de SEO poisoning e páginas de phishing cuidadosamente disfarçadas para atrair vítimas desprevenidas. As primeiras campanhas com FileFix utilizaram cargas inofensivas, mas indícios claros apontam para uma preparação ativa para a introdução de malware real.
O FileFix distingue-se pela sua subtileza: uma página maliciosa abre uma janela legítima do Explorador de Ficheiros e, ao mesmo tempo, copia silenciosamente para o clipboard um comando PowerShell disfarçado. Quando o utilizador cola esse “caminho de ficheiro” na barra de endereços e pressiona Enter, o sistema executa o comando malicioso sem qualquer alerta visível. Este processo tira partido de um comportamento comum e aparentemente inofensivo, o que torna a deteção e prevenção significativamente mais complexas.
Segundo os investigadores da Check Point, esta técnica não explora vulnerabilidades técnicas no Windows, mas sim a familiaridade e a confiança que os utilizadores depositam nos seus próprios sistemas. Este tipo de engenharia social reforça a necessidade de se olhar para a cibersegurança como uma combinação de tecnologia e comportamento humano. O desafio não é apenas proteger o software, mas antecipar a forma como os utilizadores interagem com ele no dia a dia.
A deteção precoce por parte da Check Point Research sublinha o papel crítico que as equipas de threat intelligence desempenham na proteção das organizações. Ao identificar o uso experimental do FileFix ainda em fase de teste, a CPR permitiu que as equipas de segurança em todo o mundo atualizassem rapidamente os seus mecanismos de defesa e formação. A partilha pública de detalhes técnicos foi fundamental para acelerar a resposta e sensibilizar o setor.
Face ao crescimento acelerado do ClickFix em 2025, é expectável que o FileFix siga o mesmo caminho, tornando-se uma ferramenta comum no arsenal de cibercriminosos. Por isso, a Check Point recomenda que os utilizadores desconfiem de qualquer pedido para executar comandos manuais, que as equipas ajustem as regras de deteção e que seja promovida uma cultura de verificação interna. Sites legítimos raramente pedem este tipo de interação técnica por parte dos utilizadores.
A resposta passa por reforçar a segurança a nível de endpoint, com soluções como o Harmony Endpoint, capaz de monitorizar o clipboard, detetar execuções ocultas de PowerShell e agir em tempo real. Com a combinação de análise comportamental, caça proativa e bloqueio automatizado, esta tecnologia representa uma defesa eficaz contra ameaças como FileFix e futuras variantes que venham a surgir num cenário cada vez mais dinâmico.
