ClickFix arriva sugli annunci X e distribuisce Atomic Stealer su macOS

🛡️ Executive Summary

• ClickFix arriva negli annunci sponsorizzati su X, usando un account verificato per colpire utenti macOS.
• La campagna impersona DynamicLake e induce le vittime a eseguire comandi malevoli nel Terminale.
• Il payload finale è una variante di Atomic Stealer, nota anche come MacSync Stealer, orientata al furto dati.

La tecnica ClickFix compie un salto di qualità nel panorama delle minacce contro macOS: da schema di social engineering usato su siti compromessi e finte pagine di verifica passa agli annunci sponsorizzati su X, sfruttando la credibilità apparente di un account verificato. La campagna individuata da Jamf Threat Labs promuoveva una presunta applicazione chiamata DynamicLake, richiamando il tema della Dynamic Island e del notch dei MacBook, ma indirizzava gli utenti verso un dominio fraudolento che chiedeva di aprire il Terminale e incollare un comando di installazione. Questa sequenza è il nucleo della logica ClickFix: non sfruttare una vulnerabilità tecnica del sistema operativo, ma convincere l’utente a eseguire volontariamente il codice necessario all’infezione. Il payload finale è una variante recente di Atomic Stealer, tracciata anche come MacSync Stealer, capace di raccogliere credenziali, dati browser, informazioni di sistema e file sensibili. Il caso evidenzia un rischio crescente per l’ecosistema Apple: l’utente macOS non viene più attaccato solo tramite DMG contraffatti o app pirata, ma attraverso pubblicità apparentemente legittima su piattaforme social mainstream.

ClickFix sfrutta la fiducia negli annunci sponsorizzati verificati

L’elemento più rilevante della campagna è l’uso di un annuncio sponsorizzato su X proveniente da un account verificato. Per molti utenti, il badge di verifica e la natura promossa del contenuto funzionano ancora come segnali impliciti di affidabilità, anche se non garantiscono in alcun modo la sicurezza della destinazione. Gli aggressori sfruttano proprio questa percezione per aumentare il tasso di conversione della truffa. Il link dell’annuncio portava al dominio dynamicmacisland[.]com, costruito per apparire coerente con il tema dell’applicazione impersonata. Sul sito, invece di un normale pacchetto di installazione, la vittima trovava istruzioni per aprire il Terminale ed eseguire un comando. Questo passaggio è decisivo perché sposta l’infezione dal download automatico all’autorizzazione manuale dell’utente. Il malware non deve superare da solo tutti i controlli di sicurezza: ottiene l’esecuzione perché la vittima, convinta di installare un software utile, copia e incolla il comando richiesto. La rimozione dell’annuncio dopo la segnalazione non elimina il problema strutturale: l’advertising verificato può diventare un canale di malvertising ad alto rendimento.

DynamicLake diventa l’esca perfetta per utenti Apple

La scelta di DynamicLake non è casuale. Le applicazioni che promettono di portare funzioni simili alla Dynamic Island su macOS intercettano una nicchia molto riconoscibile di utenti Apple interessati a personalizzazione, utility grafiche e integrazione estetica tra iPhone e MacBook. Questo tipo di esca è più credibile rispetto a un generico tool di sicurezza o a un’app sconosciuta, perché richiama un’esperienza familiare dell’ecosistema Apple. In precedenti campagne malware per macOS, temi simili legati alla Dynamic Island erano già stati usati per distribuire stealer come DigitStealer e varianti di Atomic Stealer. La novità è il canale: non una pagina phishing isolata o un risultato SEO manipolato, ma una promozione visibile dentro un feed social, con un’apparenza commerciale ordinaria. Per gli attaccanti, questo riduce l’attrito psicologico. L’utente non percepisce una catena sospetta fin dall’inizio, perché l’annuncio sembra parte del normale ecosistema pubblicitario della piattaforma.

Il comando nel Terminale resta il punto critico dell’attacco

La tecnica ClickFix funziona perché trasforma l’utente nel vettore di esecuzione. Il sito malevolo non tenta necessariamente di sfruttare una falla zero-day di macOS; chiede invece alla vittima di copiare un comando nel Terminale, presentandolo come procedura di installazione o configurazione. Questo modello ha avuto grande successo su Windows, dove gli attori malevoli inducono gli utenti a eseguire comandi PowerShell o script tramite prompt di verifica, finti CAPTCHA o presunte correzioni di errore. Su macOS, l’uso del Terminale conserva una forte efficacia perché molti utenti avanzati sono abituati a installare tool tramite comandi shell, script remoti o package manager. Il problema è che un comando apparentemente innocuo può scaricare payload, rimuovere attributi di quarantena, rendere eseguibili file malevoli e avviare componenti persistenti. In questo caso, l’obiettivo finale era la consegna di Atomic Stealer, non l’installazione di una vera utility DynamicLake.

Atomic Stealer si nasconde nei percorsi Application Support

L’analisi del payload mostra una variante recente di Atomic Stealer, malware noto nell’ecosistema macOS anche come AMOS e, in questa filiera, associato al nome MacSync Stealer. Il malware installa componenti in percorsi che imitano nomi di sistema o servizi Apple, tra cui directory sotto Library/Application Support come .com.apple.accountsd e .com.apple.metadata.mds. I file osservati includono nomi come .cfg, .auth, .service, .uid, .mdworker, mdworker_shared e .index, progettati per confondersi con componenti legittimi legati ad account, metadati e indicizzazione. La presenza di eseguibili come AccountsHelper e helper in /private/tmp/ rafforza la logica di mimetizzazione. L’obiettivo operativo è raccogliere dati sensibili senza generare segnali immediatamente comprensibili all’utente. Come altri infostealer macOS, Atomic Stealer mira a credenziali, cookie, dati browser, informazioni di wallet, segreti salvati localmente e materiali utili a ulteriori compromissioni.

macOS non è più un bersaglio secondario per gli stealer

La campagna conferma che macOS è ormai un bersaglio primario per gli infostealer. L’aumento della diffusione dei Mac tra sviluppatori, creativi, professionisti finanziari, crypto user e personale executive ha cambiato il calcolo economico degli attaccanti. Un singolo endpoint macOS può contenere sessioni cloud attive, password salvate, cookie di autenticazione, chiavi SSH, seed phrase, token API, repository privati e accessi a strumenti aziendali. Atomic Stealer è diventato uno dei malware più ricorrenti in questo segmento perché combina distribuzione flessibile, esche credibili e capacità di raccolta dati ad alto valore. La tecnica ClickFix aggiunge un livello ulteriore: invece di dipendere solo da file DMG firmati malevolmente o app contraffatte, l’attaccante può convincere la vittima a eseguire la catena direttamente. Questo riduce alcune frizioni tecniche e sfrutta la fiducia dell’utente in istruzioni apparentemente manuali.

L’abuso di X mostra i limiti del controllo pubblicitario

Il caso solleva anche un tema di sicurezza delle piattaforme pubblicitarie. Gli annunci sponsorizzati su X possono raggiungere rapidamente utenti targettizzati, e l’uso di account verificati crea una superficie di abuso particolarmente efficace. Anche quando il proprietario dell’account non è necessariamente complice, l’approvazione di campagne esterne o la compromissione del profilo possono trasformare un’identità reputata in un vettore di distribuzione malware. Per le piattaforme social, il problema non riguarda solo la moderazione del contenuto testuale dell’annuncio, ma la verifica della destinazione, dei redirect, dei domini imitativi e delle istruzioni eseguite dopo il click. Nel caso DynamicLake, il danno potenziale nasceva dalla combinazione tra brand impersonato, account verificato, promozione a pagamento e comando Terminale. Questa catena dimostra che il malvertising non è più confinato ai banner di bassa qualità o ai circuiti pubblicitari marginali, ma può apparire in ambienti percepiti come mainstream.

Difesa: bloccare l’esecuzione guidata e monitorare i segnali macOS

La mitigazione parte da una regola semplice: nessun utente dovrebbe incollare comandi nel Terminale provenienti da annunci, social network o pagine di download non verificate. Le organizzazioni che gestiscono flotte macOS devono rafforzare il controllo su shell, script remoti e processi figli avviati da browser dopo visite a domini sconosciuti. È utile monitorare comandi che combinano curl, bash, zsh, download da URL offuscati, modifica di permessi e rimozione di attributi di quarantena. Sul filesystem, attenzione va posta alla creazione di directory nascoste in Library/Application Support, alla comparsa di eseguibili in /private/tmp/ e a nomi che imitano servizi Apple come accountsd, mds o mdworker. Sul piano utente, la formazione deve spiegare che un account verificato e un annuncio sponsorizzato non equivalgono a una fonte sicura. Per i team di sicurezza, la campagna conferma la necessità di rilevamento comportamentale: gli indicatori di dominio cambiano rapidamente, ma la sequenza browser, Terminale, download, esecuzione e persistenza resta un pattern ad alta fedeltà.

ClickFix diventa un modello stabile per il malware macOS

L’arrivo di ClickFix negli annunci sponsorizzati su X indica che la tecnica sta diventando un modello stabile anche contro gli utenti Apple. Gli attori malevoli hanno compreso che la difesa di macOS non si aggira soltanto con exploit o certificati sviluppatore abusati, ma anche con istruzioni socialmente credibili. La variante con DynamicLake mostra un’evoluzione precisa: esca coerente con l’ecosistema Apple, canale pubblicitario ad alta fiducia, account verificato e payload stealer maturo. Per Atomic Stealer, questo significa una nuova via di distribuzione verso utenti potenzialmente ricchi di credenziali e asset digitali. Per le aziende, significa che la superficie di attacco include anche la pubblicità social consumata dai dipendenti sui dispositivi aziendali. Il punto operativo è netto: quando un sito chiede di aprire il Terminale, la minaccia è già iniziata.