🛡️ Executive Summary
- Oltre 250 domini ClickFix profilano browser, hardware e ambiente prima di mostrare il falso download agli utenti macOS selezionati.
- Il comando copiato nel Terminale scarica più script e installa Atomic Stealer, esponendo credenziali, wallet, chiavi e file sensibili.
- macOS 26.4 blocca gli incolla sospetti nel Terminale; aziende e utenti devono monitorare curl, osascript, archivi ed esfiltrazioni anomale.
Una campagna ClickFix contro gli utenti macOS ha introdotto un sistema di selezione server-side capace di nascondere le pagine malevole a crawler, sandbox e ricercatori. Microsoft Threat Intelligence ha identificato più di 250 domini utilizzati per distribuire infostealer come MacSync e Atomic Stealer, noto anche come AMOS. Prima di mostrare il falso pulsante per il download, l’infrastruttura raccoglie informazioni sul browser, sulla GPU, sullo schermo e sull’ambiente di esecuzione. Soltanto i visitatori compatibili con un vero Mac ricevono il comando da copiare nel Terminale, mentre gli altri visualizzano pagine vuote o contenuti apparentemente legittimi.
Cosa leggere
ClickFix passa dalle esche aperte ai controlli server-side
Nella prima fase osservata da Microsoft, i domini della campagna mostravano direttamente una falsa pagina di download contenente le istruzioni ClickFix e il comando shell malevolo. Il codice era visibile nell’HTML e poteva essere individuato anche da crawler semplici o sistemi di analisi che non eseguivano JavaScript. Gli operatori hanno successivamente modificato la stessa infrastruttura, collocando davanti all’esca un Traffic Distribution System che decide dinamicamente quale contenuto restituire. La ricerca di Microsoft sulla nuova campagna ClickFix per macOS descrive una pagina iniziale ridotta a uno script di profilazione di circa 2,5 KB, incaricato di raccogliere i segnali del visitatore e inviarli al server.
Un crawler basilare può ricevere una pagina vuota, mentre un ambiente automatizzato compatibile con JavaScript ma incapace di superare i controlli viene indirizzato verso un sito-esca, come una falsa estensione VPN o una pagina aziendale priva di contenuti dannosi.
Un normale browser macOS, invece, riceve il falso download accompagnato da un badge “Verified Publisher” contraffatto. Il cambiamento rende meno affidabili le verifiche basate su una singola scansione: lo stesso dominio può apparire innocuo in un’analisi e distribuire malware pochi secondi dopo a un visitatore differente.
Il fingerprinting verifica browser, GPU e ambiente macOS
Il gate costruisce un’impronta del visitatore interrogando gli oggetti JavaScript navigator, screen, window, document, location e console. Raccoglie piattaforma dichiarata, user agent, lingua, vendor, plugin, risoluzione, profondità cromatica, dimensioni della finestra, pixel ratio, URL e referrer. Questi elementi vengono confrontati per stabilire se l’identità presentata dal browser sia coerente con quella di un dispositivo Apple reale. Il controllo più significativo utilizza WebGL per recuperare informazioni sulla GPU e distinguere l’hardware autentico da macchine virtuali, renderer software, emulatori e sandbox. Il codice analizza inoltre fuso orario, supporto agli eventi touch e caricamento all’interno di un iframe.
Un Mac desktop che dichiara caratteristiche tipiche di un dispositivo touch o presenta parametri incompatibili può essere escluso dalla catena malevola. La campagna introduce anche controlli anti-analisi destinati a rilevare console di sviluppo, browser headless e strumenti che alterano le API native. Una funzione con metodo toString() personalizzato incrementa un contatore quando viene serializzata da una console o da un sistema di logging, mentre una verifica basata su canPlayType("video/mp4") tenta di identificare browser stealth che simulano il supporto ai codec attraverso JavaScript. Il server riceve l’intero profilo e decide se consegnare il payload, spostando il momento della selezione fuori dalla pagina e rendendo più difficile riprodurre l’attacco in laboratorio.
Oltre 250 domini seguono uno schema riconoscibile
Microsoft ha confermato più di 250 front-end domain collegati alla campagna. Molti utilizzano combinazioni generate automaticamente con la parola “file” e termini da dizionario, come filecopperbasket, filevelvettractor, fileoceanhammer e filemarblegarden. In altri casi “file” compare all’inizio, al centro o alla fine del dominio, oppure viene sostituito da nomi come cloudsendhub e syncdatavault. Lo schema rappresenta un utile punto di partenza per le attività di threat hunting, ma non può essere utilizzato come firma esclusiva perché domini legittimi potrebbero adottare strutture simili e gli attaccanti possono modificare facilmente il generatore.
Il segnale più affidabile deriva dalla combinazione tra nomi costruiti con parole comuni, script di fingerprinting, moduli che inviano automaticamente i dati al server e risposte differenti in base all’ambiente. L’evoluzione conferma l’industrializzazione della tecnica già emersa quando ClickFix aveva raggiunto gli utenti macOS attraverso annunci sponsorizzati su X. In quel caso la visibilità pubblicitaria portava la vittima sulla pagina malevola; nella nuova campagna l’infrastruttura aggiunge un ulteriore livello per ridurre il numero di ricercatori e sistemi automatici capaci di osservare la vera esca.
Il comando nel Terminale installa Atomic Stealer
La pagina mostrata ai visitatori selezionati imita un normale download software e invita a copiare negli appunti una riga di comando offuscata. L’utente viene quindi istruito ad aprire il Terminale, incollare il testo ed eseguirlo per completare l’installazione. Questa dinamica permette di evitare parte del normale percorso di fiducia previsto per le applicazioni macOS scaricate dal web. Non essendo avviata inizialmente attraverso un tradizionale bundle applicativo, la catena può aggirare i controlli normalmente associati a quarantena, firma del codice e notarizzazione. Il primo comando utilizza curl per recuperare uno script remoto da un percorso /curl/<id>, quindi avvia ulteriori stadi che decodificano, preparano ed eseguono il payload. La catena termina con Atomic Stealer, malware progettato per sottrarre credenziali dei browser, dati dei wallet di criptovalute, archivi di autenticazione, chiavi e file sensibili prima dell’esfiltrazione. Microsoft ha osservato anche la distribuzione di MacSync, famiglia già associata alla stessa tecnica. L’uso del Terminale non costituisce una vulnerabilità di macOS: l’attaccante convince la vittima a eseguire volontariamente una sequenza di comandi dotata dei suoi stessi privilegi. La campagna approfondisce quindi il percorso già ricostruito con ClickFix e MacSync contro gli utenti macOS, aggiungendo un sistema di cloaking che protegge la pagina e non il malware finale.
macOS 26.4 blocca gli incolla considerati sospetti
Apple ha introdotto in macOS 26.4 un controllo che intercetta il tentativo di incollare nel Terminale comandi potenzialmente pericolosi. Il sistema mostra l’avviso “Possible malware, Paste blocked” e spiega che truffatori e siti malevoli possono chiedere all’utente di incollare istruzioni destinate a danneggiare il Mac o compromettere la privacy. La protezione interviene direttamente sul vettore ClickFix, ma non elimina la necessità di riconoscere l’inganno: un utente determinato può ancora digitare manualmente il comando, disattivare il controllo o seguire indicazioni alternative fornite dall’attaccante. La funzione era stata anticipata con l’avviso Terminale progettato da Apple contro ClickFix e Atomic Stealer e ora assume un valore concreto contro campagne che fanno dell’incolla il principale passaggio di esecuzione. Le organizzazioni devono comunque formare gli utenti sul principio fondamentale: nessun download legittimo, CAPTCHA o verifica del browser richiede l’esecuzione di un comando ricevuto da una pagina web.
La difesa deve cercare comportamenti e infrastrutture condivise
Microsoft raccomanda di monitorare sessioni del Terminale che avviano curl, base64, gunzip, zsh oppure osascript, soprattutto immediatamente dopo la navigazione web. Sequenze come download tramite curl, decodifica Base64, rimozione degli attributi con xattr -c, assegnazione dei permessi attraverso chmod +x ed esecuzione del file rappresentano indicatori comportamentali più stabili dei singoli hash. Devono essere controllati anche accessi anomali al Portachiavi, ai database dei browser, alle chiavi SSH e ai wallet, insieme alla creazione di archivi seguita da richieste HTTP POST verso domini recenti o con scarsa reputazione. Il blocco dei soli front-end è fragile perché gli operatori possono generarne rapidamente di nuovi; quando validati, risultano più utili gli indirizzi di staging e comando e controllo condivisi da numerosi domini. I team di sicurezza devono inoltre considerare che una pagina apparentemente vuota o legittima non esclude l’appartenenza all’infrastruttura malevola. La vera evoluzione della campagna non consiste in una nuova capacità di Atomic Stealer, ma nella decisione di mostrare l’attacco soltanto alle vittime che hanno maggiori probabilità di eseguirlo.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
