ClickFix entra nel browser: Google Sheets diventa C2 per rubare Bitcoin

🛡️ Executive Summary

• La nuova campagna ClickFix non convince più la vittima a eseguire PowerShell o comandi Windows: il JavaScript malevolo viene inserito direttamente dentro Chrome.
• Gli operatori usano Google Docs e Google Sheets come esca e infrastruttura C2, recuperando il payload attraverso la Google Visualization API.
• Il codice modifica le risposte fetch, l’interfaccia e la clipboard di SwapZone e SimpleSwap per sostituire gli indirizzi Bitcoin con wallet degli attaccanti.

ClickFix esce dalla finestra Esegui di Windows e si trasferisce direttamente dentro il browser. Cisco Talos ha individuato una campagna attiva da mesi nella quale le vittime vengono convinte a eseguire JavaScript all’interno di Chrome oppure a installarlo tramite Tampermonkey, senza scaricare malware tradizionale sul sistema operativo. Il codice recupera il payload da Google Sheets attraverso la Google Visualization API, lo inietta nelle sessioni di SwapZone o SimpleSwap e altera in tempo reale indirizzi di deposito, clipboard e interfaccia delle piattaforme crypto. La vittima crede di sfruttare una vulnerabilità capace di aumentare il rendimento degli scambi. In realtà installa personalmente uno skimmer Web nel proprio browser.

ClickFix non chiede più Win+R ma di incollare JavaScript dentro Chrome

La novità descritta da Cisco Talos è soprattutto architetturale. Le campagne ClickFix tradizionali mostrano un falso CAPTCHA o una finta procedura tecnica e inducono l’utente ad aprire Win+R, PowerShell o il Terminale per incollare un comando. La nuova operazione mantiene il principio di fondo — la vittima esegue volontariamente il codice dell’attaccante — ma elimina il passaggio verso il sistema operativo. Nella prima versione, gli operatori chiedevano di copiare uno script da paste.sh e inserirlo direttamente nella barra degli indirizzi di Chrome dopo il prefisso javascript:. Il codice veniva così eseguito nel contesto della pagina aperta. In una seconda evoluzione, la vittima installava dal Chrome Web Store la legittima estensione Tampermonkey e vi caricava lo script malevolo, ottenendo anche persistenza perché il codice tornava automaticamente in esecuzione ogni volta che veniva visitato il sito crypto bersaglio.

Il cambio di modello è significativo rispetto al ClearFake che utilizza WebDAV, rundll32 e WordlistLoader per portare Amatera sul sistema. In quel caso il browser serve soprattutto a costruire l’inganno iniziale, mentre il vero compromesso prosegue dentro Windows. La campagna Talos dimostra invece che l’intera frode può restare confinata al browser, rendendo molto meno utili i controlli che cercano processi PowerShell, DLL sospette o eseguibili appena scaricati.

Leggi anche: Chrome ed Edge sotto attacco con estensioni che rubano wallet, credenziali e sessioni

L’esca promette un falso exploit per guadagnare il 25 o il 38% in più

Gli operatori hanno scelto vittime molto specifiche. Talos descrive utenti che frequentano forum di criptovalute, sviluppo software, cybersecurity e hacking, quindi persone abbastanza tecniche da poter seguire una procedura JavaScript ma non necessariamente capaci di verificarne il funzionamento. Il documento esca, ospitato su Google Docs con il titolo “API Logic Flaw”, veniva presentato come una ricerca riservata su vulnerabilità nelle API degli exchange. La prima versione sosteneva che una vecchia API ChangeNOW ancora raggiungibile attraverso SwapZone consentisse guadagni superiori di circa il 38%. Ad aprile l’esca è stata riscritta per SimpleSwap, promettendo un presunto “loyalty bonus” capace di aumentare del 25% il valore dello scambio. Nessuna delle vulnerabilità esisteva.

L’ingegneria sociale è costruita quindi sulla cupidigia della vittima anziché sulla paura. Non c’è un CAPTCHA che afferma “devi verificare di essere umano”, ma una presunta opportunità di abusare di un bug per ottenere più criptovalute. Talos sottolinea esplicitamente che il bersaglio ideale è qualcuno disposto a tentare una frode attraverso una tecnica che non comprende fino in fondo. I link venivano diffusi su Telegram, DarkForums, Pastebin e altri servizi di condivisione testo, con nuove ondate almeno due volte al mese. Gli operatori cancellavano inoltre i vecchi post dal canale Telegram per evitare che risultasse evidente il continuo riciclo della stessa falsa zero-day.

Google Sheets funziona come deposito dinamico del payload

Il passaggio tecnicamente più interessante arriva dopo il loader. Entrambe le varianti contattano un foglio Google pubblico attraverso la Google Visualization API, interfaccia nata per consentire l’accesso in sola lettura ai dati contenuti nei fogli pubblicati sul Web. La richiesta può selezionare specifiche colonne o celle e ricevere il risultato sotto forma di JSON. Gli operatori sfruttano questa funzione per conservare in due celle blocchi di JavaScript offuscato, recuperarli dal browser della vittima, concatenarli e ricostruire il secondo stadio. Dal punto di vista della rete, la richiesta proviene quindi da Chrome verso docs.google.com, traffico perfettamente coerente con un normale utilizzo del browser.

La tecnica è un altro esempio di legitimate service abuse. Nelle campagne ClearFake più recenti gli attaccanti hanno nascosto istruzioni dentro smart contract BNB Smart Chain, mentre l’evoluzione EtherHiding con WebRTC ha trasformato oltre 5.400 siti compromessi in una rete capace di recuperare dinamicamente il C2. Qui la stessa funzione viene affidata a un servizio Google: il dominio gode di reputazione elevata, il traffico HTTPS non appare anomalo e il contenuto può essere aggiornato dagli operatori senza modificare il primo stadio già distribuito.

Il codice malevolo si nasconde nelle celle bianche di Google Sheets

Anche il foglio utilizzato come backend è costruito per resistere a un controllo superficiale. Talos ha recuperato 21 campioni differenti del secondo stadio e ha scoperto che il JavaScript veniva nascosto nel documento utilizzando testo bianco su sfondo bianco. Con il passare delle revisioni, gli operatori aggiungevano nuove righe per spingere le celle contenenti il payload sempre più in basso, rendendole difficili da individuare aprendo semplicemente lo spreadsheet. Il codice restava però facilmente raggiungibile dalla Visualization API attraverso la query specifica.

Il payload veniva ulteriormente protetto con array di byte esadecimali codificati tramite XOR, Base64, Unicode escaping, nomi casuali di variabili e funzioni e grandi quantità di operazioni matematiche inutili. Le chiavi XOR cambiavano tra le diverse revisioni, producendo firme differenti senza modificare sostanzialmente la funzionalità sottostante. L’obiettivo non era costruire malware sofisticato sul piano algoritmico, ma rendere costosa la detection basata su firme statiche mantenendo invariato il motore della frode.

Tampermonkey trasforma lo script in una persistenza browser

La prima versione della campagna aveva un limite: il JavaScript doveva essere eseguito nuovamente dalla vittima. L’adozione di Tampermonkey elimina questa debolezza. L’estensione è legittima e permette normalmente di installare userscript che modificano il comportamento delle pagine Web. Gli attaccanti sfruttano esattamente questa funzione, chiedendo alla vittima di creare uno script che si attiva automaticamente quando visita SimpleSwap.

Il browser diventa così l’ambiente di persistenza. Non servono chiavi Run, scheduled task, servizi Windows o DLL caricate automaticamente. Ogni visita al dominio bersaglio provoca una nuova iniezione del payload. La tecnica converge con il rischio già osservato quando ClickFix è comparso direttamente dentro estensioni Chrome ed Edge: una volta che il codice malevolo dispone di un punto persistente all’interno del browser, può manipolare ciò che l’utente vede senza dover necessariamente compromettere l’intero sistema operativo.

Lo skimmer intercetta fetch e cambia gli indirizzi Bitcoin prima che l’utente li veda

Il secondo stadio non è un normale infostealer. È uno skimmer JavaScript specificamente costruito per le interfacce di SwapZone e SimpleSwap. Il codice usa MutationObserver per monitorare i cambiamenti del DOM e sostituire dinamicamente gli indirizzi di deposito mostrati nella pagina. Ma la componente più potente consiste nell’override della Fetch API del browser. Lo script intercetta le risposte ricevute dai backend dei servizi di cambio e, quando individua JSON contenenti indirizzi di deposito, sostituisce il wallet originale con uno controllato dagli attaccanti.

Il malware controlla elementi dell’interfaccia come recipientAddressContainer, depositAddress, currencyList e cryptoExchangeTab, modifica gli importi visualizzati e crea elementi grafici falsi che mostrano il presunto “bonus” promesso nell’esca. La vittima vede quindi un’interfaccia coerente con la storia raccontata nel documento: l’exploit sembra funzionare perché la pagina visualizza davvero un rendimento superiore. In realtà la transazione viene preparata verso il portafoglio criminale.

Anche la clipboard viene riscritta con il wallet dell’attaccante

Per impedire alla vittima di accorgersi della sostituzione copiando manualmente l’indirizzo, lo script controlla anche le operazioni sulla clipboard. Quando viene utilizzato il pulsante per copiare un indirizzo crypto, il valore reale viene sostituito con uno dei wallet Bitcoin integrati nel malware. Talos ha identificato 49 indirizzi BTC utilizzati complessivamente dalla campagna; nei campioni analizzati tra aprile e giugno ricorreva soprattutto un gruppo stabile di 30 wallet.

Ventiquattro di questi indirizzi avevano ricevuto fondi per un totale di circa 0,159 BTC, equivalente a circa 8.600 euro prendendo come riferimento la valutazione indicativa utilizzata da Talos all’inizio di agosto. Il dato rappresenta però soltanto ciò che i ricercatori sono riusciti ad associare ai campioni raccolti e non quantifica necessariamente l’intero profitto della campagna. Successivamente i fondi sono transitati attraverso catene estremamente complesse che hanno coinvolto oltre 3.000 indirizzi aggiuntivi, comportamento compatibile secondo Talos con tentativi di mixing destinati a rendere più difficile seguire il flusso delle criptovalute.

Continua con:

• ClickFix sfrutta npm come hosting fidato per pagine phishing
• ClickFix arriva negli annunci X e distribuisce Atomic Stealer su macOS

Il browser diventa un perimetro di esecuzione e non solo il vettore iniziale

La campagna osservata da Talos cambia soprattutto ciò che i difensori devono cercare. Nei ClickFix classici una catena anomala produce spesso eventi chiarissimi: browser → cmd.exe → PowerShell → rundll32.exe, download di file, processi child insoliti o connessioni verso server esterni. Qui tutto può invece avvenire dentro una normale sessione Chrome: una richiesta verso Google Docs recupera dati da Google Sheets e JavaScript già autorizzato dall’utente modifica il comportamento di una pagina legittima. Non esiste una vulnerabilità di Chrome, Tampermonkey, SwapZone o SimpleSwap da correggere; il punto debole rimane la decisione dell’utente di eseguire codice non verificato.

La difesa deve quindi includere controllo delle estensioni, policy aziendali che impediscano userscript non autorizzati, monitoraggio delle modifiche alle configurazioni del browser e formazione specifica contro istruzioni che chiedono di incollare JavaScript nella barra degli indirizzi o dentro un’estensione. Talos sottolinea inoltre che, sebbene la campagna osservata abbia colpito soprattutto utenti crypto disposti a sfruttare un falso bug, la stessa architettura potrebbe essere riutilizzata contro e-commerce, applicazioni finanziarie e servizi customer-facing. ClickFix non richiede più necessariamente di convincere la vittima a “uscire” dal browser per eseguire malware: ora può convincerla a trasformare il browser stesso nel malware.