Tronlar
Gamma
Verificación en dos pasos activada
Usuário com poucas negociações! Use sempre o saldo do ForoBeta!
Os cibercriminosos estão aproveitando a popularidade de ferramentas como ChatGPT, Claude, Gemini e Perplexity para atrair usuários a páginas falsas que podem acabar instalando malware ou modificando a configuração do navegador.
Uma investigação publicada em 12 de novembro de 2026 pela empresa de cibersegurança Island identificou uma campanha chamada TypoPrompting, que utiliza 186 domínios parecidos com os de 27 marcas relacionadas à inteligência artificial.
O método é bem simples: o usuário digita errado um endereço web, entra em uma página que parece relacionada à ferramenta que procurava e acaba recebendo instruções para verificar o seu equipamento, instalar um suposto aplicativo de segurança ou adicionar uma extensão ao navegador.
O preocupante é que nem todas essas páginas tentam a mesma coisa. Os pesquisadores identificaram diferentes formas de engano, desde comandos maliciosos até aplicativos capazes de modificar o Chrome e extensões que desviam as buscas para terceiros.
🔴 186 domínios falsos que imitam ferramentas de IA
A investigação da Island identifica domínios que imitam serviços conhecidos como:
- OpenAI ChatGPT.
- Anthropic Claude.
- Google Gemini e NotebookLM.
- Microsoft Copilot.
- Grok e DeepSeek.
- Perplexity.
- Midjourney.
- ElevenLabs.
- Lovable e Cursor.
Os atacantes aproveitam erros ao digitar os endereços, especialmente quando se troca uma letra, se omite algum caractere ou se confunde a ordem de duas letras.
Por exemplo, entre os domínios mencionados na investigação aparecem:
Inserir CODE, HTML ou PHP:
cloude[.]ai
cluade[.]ai
chatlgpt[.]com
geimini[.]com
notebookklm[.]com
deepceek[.]comOs endereços estão desativados com colchetes para evitar que alguém acesse acidentalmente.
Alguns desses domínios estão registrados desde 2023, portanto não se trata necessariamente de páginas criadas todas ao mesmo tempo.
Além disso, os pesquisadores explicam que parte da infraestrutura utiliza sistemas de redirecionamento publicitário. Ou seja, o usuário pode passar por várias páginas antes de chegar ao engano final.
⚠️ Três formas diferentes de enganar os usuários
A Island identificou três rotas principais dentro desta campanha.
1. Falsas verificações de segurança que utilizam ClickFix
O usuário acaba em uma página que imita uma checagem de segurança, por exemplo, uma suposta verificação da Cloudflare.
Em vez de fazer uma checagem normal, a página tenta convencê-lo a executar instruções no seu próprio computador.
No Windows, algumas dessas páginas utilizam a técnica conhecida como ClickFix, que pode levar o usuário a executar um comando do PowerShell.
Também foram identificadas iscas para macOS que pedem para executar comandos no terminal, além de falsas páginas de download que orientam o usuário a extrair e executar um arquivo.
O perigo não está simplesmente em visitar um endereço errado, mas em seguir as instruções que aparecem na página fraudulenta.
2. Falsas checagens que instalam o Net Guard
Outra rota mostra uma suposta verificação de segurança e oferece a instalação de um aplicativo chamado Net Guard.
Segundo a investigação, esse aplicativo pode modificar a configuração do navegador, executar scripts e receber instruções de um servidor remoto.
3. Extensões que sequestram as buscas
A terceira rota direciona o usuário para extensões do Chrome que podem substituir o seu buscador padrão.
Isso permite que as consultas feitas pelo navegador passem por serviços de terceiros.
Em ambientes de trabalho, essas buscas poderiam conter nomes de clientes, projetos, serviços internos ou informações que não deveriam ser compartilhadas.
💻 Net Guard: um aplicativo assinado que pode controlar o navegador
Uma das descobertas mais chamativas tem a ver com o Net Guard.
Os pesquisadores analisaram um aplicativo distribuído como suposto scanner de segurança Wi-Fi e DNS.
O surpreendente é que, segundo a Island, o arquivo MSIX baixado das páginas fraudulentas era idêntico ao distribuído pela Microsoft Store e conservava a assinatura da loja.
Portanto, não se tratava simplesmente de um instalador falso ao qual alguém tinha adicionado código malicioso.
O pesquisador Oleg Zaytsev explicou que as capacidades de controle do navegador estavam presentes no próprio aplicativo analisado.
Entre as ações documentadas estão:
- Esperar que o usuário pare de usar o computador.
- Abrir e modificar a configuração do buscador do Chrome.
- Executar JavaScript dentro do navegador.
- Modificar perfis e preferências do navegador.
- Instalar extensões.
- Receber configurações e scripts de um servidor remoto.
A investigação descreve mecanismos que utilizam automação da interface, PowerShell, modificações do registro do Windows e ferramentas de depuração do navegador.
Isso é especialmente preocupante porque um aplicativo assinado ou disponível em uma loja oficial não deveria ser considerado automaticamente seguro.
Não significa que todos os aplicativos da Microsoft Store sejam perigosos, mas que a assinatura digital, por si só, não garante que o comportamento de um programa seja legítimo.
🔎 Extensões do Chrome com quase um milhão de usuários declarados
A investigação também identifica uma rota relacionada a um endereço falso do Perplexity.
Neste caso, o usuário pode acabar em uma extensão chamada Quick Search, disponível na Chrome Web Store no momento da análise.
Segundo a Island, a extensão modifica o provedor de busca padrão para utilizar um domínio de terceiros:
Inserir CODE, HTML ou PHP:
find.flashysearches[.]comO interessante é que essa modificação pode ser feita por meio da configuração declarada no manifesto da extensão, sem necessidade de utilizar JavaScript para essa função específica.
Os pesquisadores relacionam essa extensão a um conjunto de 16 extensões, entre elas uma chamada GPT for Chrome.
Em 3 de novembro de 2026, essas extensões somavam 972.000 usuários declarados na Chrome Web Store.
Importante: esse número corresponde à quantidade de usuários exibida para as extensões. Não demonstra que 972.000 pessoas tenham sofrido um roubo de dados nem que todas tenham chegado a elas por meio dos domínios fraudulentos.
Ainda assim, mostra o alcance potencial que pode ter uma extensão que modifica as buscas sem que o usuário entenda realmente o que está aceitando.
🛡️ Como evitar cair nessas páginas falsas
A principal recomendação é conferir o endereço web antes de inserir dados, baixar programas ou instalar extensões.
Também convém tomar algumas precauções:
- Salvar os endereços oficiais nos favoritos, especialmente se vocês usam ferramentas de IA todos os dias.
- Desconfiar de páginas que peçam para executar comandos no PowerShell ou no terminal para concluir uma suposta verificação.
- Não instalar aplicativos de segurança recomendados por uma página à qual vocês chegaram por engano.
- Revisar as extensões instaladas no Chrome e remover as que vocês não reconheçam ou já não usem.
- Conferir se o buscador padrão mudou sem a permissão de vocês.
- Revisar as permissões das extensões antes de instalá-las.
- Manter o navegador e o sistema operacional atualizados.
Uma verificação de segurança legítima não deveria nos obrigar a copiar e executar comandos desconhecidos no computador.
Se vocês já seguiram instruções de uma página suspeita, convém revisar o equipamento com uma ferramenta de segurança atualizada e conferir as extensões, os programas instalados e a configuração do navegador.
Se além disso vocês inseriram credenciais em uma página falsa, é recomendável trocá-las pelo site oficial e revisar as sessões abertas.
📅 O que se sabe em 12 de novembro de 2026?
Os principais dados publicados pela Island são os seguintes:
- 186 domínios que imitam 27 marcas de inteligência artificial.
- Uma infraestrutura mais ampla de 211 domínios de entrada identificada na análise de uma das rotas de ataque.
- Iscas ClickFix que tentam fazer com que os usuários executem comandos.
- Oito domínios parecidos relacionados a páginas falsas de verificação que levam ao Net Guard.
- Uma rota de sequestro de buscas relacionada a 16 extensões do Chrome.
- 972.000 usuários declarados para essas extensões em 3 de novembro.
É preciso distinguir entre os domínios identificados, os aplicativos analisados e as vítimas reais.
A investigação não estabelece que todos os visitantes desses domínios tenham sido infectados nem que todos os usuários das extensões tenham sofrido um roubo de informações.
O que ela demonstra, sim, é como um simples erro ao digitar um endereço pode se transformar em uma cadeia de redirecionamentos, instalações e mudanças no navegador.
E isso afeta especialmente quem, como nós, usa ferramentas de IA para trabalhar, programar, criar conteúdo ou gerenciar projetos.
O mais perigoso desse tipo de campanha é que muitas vezes elas não precisam explorar uma vulnerabilidade complicada: basta que o usuário confie em uma página que parece legítima e siga algumas instruções.
🔗 Fontes
Importante: as informações correspondem à investigação divulgada em 12 de novembro de 2026.
O número de domínios, as extensões disponíveis e o alcance da campanha podem mudar conforme a análise avançar.
Última edição: