Kampanye ClickFix yang baru didokumentasikan diam-diam telah berkembang menjadi jaringan luas lebih dari 250 domain, semuanya dibuat untuk menipu pengguna Mac agar menginfeksi mesin mereka sendiri. Yang membuat operasi ini menonjol bukan hanya skalanya. Melainkan fakta bahwa para penyerang menggunakan browser fingerprinting, teknik pelacakan yang sama yang diandalkan pengiklan dan broker data, untuk menentukan siapa yang akan melihat umpan berbahaya dan siapa yang akan mendapatkan halaman yang tidak berbahaya.

Bagaimana Kampanye ClickFix Menyembunyikan Jejaknya

Serangan ClickFix mengikuti pola yang sudah dikenal: situs web palsu memberi tahu pengunjung bahwa browser atau sistem mereka mengalami kesalahan, lalu menginstruksikan mereka untuk menyalin dan menempelkan perintah ke Terminal untuk "memperbaikinya". Perintah itu sebenarnya memasang malware, dalam hal ini varian yang terkait dengan AMOS, pencuri informasi macOS yang dikenal dirancang untuk memanen kata sandi tersimpan, data browser, dan informasi dompet mata uang kripto.

Yang membedakan kampanye ini adalah fingerprinting sisi server. Alih-alih menyajikan umpan berbahaya kepada setiap pengunjung, infrastruktur penyerang memeriksa detail tentang browser yang masuk, hal-hal seperti resolusi layar, font yang terpasang, string user-agent, dan sinyal konfigurasi halus lainnya, sebelum memutuskan apa yang akan ditampilkan. Pemindai keamanan, perayap otomatis, dan peneliti yang menyelidiki domain tersebut cenderung mendapatkan halaman bersih dan biasa saja. Pengguna Mac asli yang menjelajah secara normal adalah mereka yang diarahkan ke umpan ClickFix.

Ini adalah evolusi berarti dalam cara kampanye malware menghindari deteksi. Alih-alih hanya mengandalkan kode yang dikaburkan atau domain berumur pendek, operator menggunakan teknik identifikasi pasif untuk menyaring audiens mereka sebelum serangan dimulai. Dengan lebih dari 250 domain yang dilaporkan terlibat, kampanye ini memiliki redundansi yang cukup sehingga penghapusan situs individu tidak banyak memperlambatnya secara keseluruhan.

Fingerprinting: Alat bagi Pengiklan dan Penyerang

Browser fingerprinting bukanlah hal baru, dan secara inheren tidak berbahaya. Situs web dan jaringan iklan telah menggunakan teknik serupa selama bertahun-tahun untuk melacak pengguna antar sesi tanpa mengandalkan cookie. Yang ditunjukkan kampanye ini adalah bagaimana metode profiling pasif yang sama persis yang digunakan untuk pelacakan komersial dapat digunakan kembali untuk menyajikan malware secara selektif sambil menghindari deteksi.

Tumpang tindih itu layak untuk direnungkan. Setiap kali browser mengekspos detail teknis granular ke situs web, itu menciptakan peluang bagi data tersebut untuk digunakan dengan cara yang tidak pernah diantisipasi pengunjung, baik oleh bursa iklan yang membangun profil atau, dalam hal ini, oleh operator malware yang memutuskan siapa yang layak diserang. Pembaca yang ingin melihat lebih dalam tentang cara kerja fingerprinting dan mekanisme pelacakan lainnya, serta apa yang bisa dan tidak bisa dihentikan oleh alat privasi standar, mungkin merasa berguna untuk membaca kembali apa itu VPN dan cara kerjanya, karena fingerprinting adalah salah satu metode pelacakan yang tidak sepenuhnya dinetralkan oleh VPN saja.

Mengapa Ini Penting di Luar macOS

Sementara kampanye khusus ini menargetkan pengguna Mac dengan pencuri informasi bergaya AMOS, teknik dasarnya, menggunakan fingerprinting untuk menyembunyikan konten berbahaya secara selektif dari pertahanan otomatis, tidak spesifik platform. Ini mencerminkan tren yang lebih luas dari operator malware yang meminjam alat dari dunia ad-tech dan analitik untuk membuat infrastruktur mereka lebih tangguh. Logika penyembunyian serupa telah muncul dalam kampanye terbaru lainnya yang menyembunyikan payload berbahaya di dalam layanan yang tampak sah, seperti teknik msaRAT kelompok ransomware Chaos, yang menyembunyikan lalu lintas command-and-control di dalam proses browser tepercaya. Benang merahnya adalah penghindaran melalui legitimasi: penyerang semakin bersembunyi di tempat terbuka daripada mengandalkan infrastruktur yang mencurigakan secara jelas.

Apa Artinya Ini Bagi Anda

Jika Anda menggunakan Mac, risiko praktis di sini sederhana: situs web apa pun yang meminta Anda untuk membuka Terminal dan menempelkan perintah untuk "memperbaiki" kesalahan, memverifikasi bahwa Anda manusia, atau menyelesaikan masalah keamanan yang diduga harus diperlakukan sebagai tanda bahaya. Pembaruan perangkat lunak dan langkah pemecahan masalah yang sah tidak bekerja dengan cara ini. Tidak ada perbaikan nyata, pembaruan browser, atau verifikasi CAPTCHA yang mengharuskan Anda menjalankan perintah shell secara manual.

Karena kampanye ini mengandalkan fingerprinting untuk menargetkan pengguna asli secara selektif, alat pemindaian keamanan standar mungkin tidak selalu dapat mendeteksinya secara dini, yang membuat kesadaran pengguna lebih penting. Ini juga merupakan pengingat bahwa pelacakan berbasis fingerprinting, jenis yang digunakan baik oleh pengiklan maupun penyerang, sebagian besar tidak terlihat dalam sesi browser rata-rata kecuali Anda secara aktif menggunakan perlindungan privasi yang dirancang untuk membatasi apa yang diungkapkan perangkat Anda.

Hal-Hal Praktis yang Dapat Dilakukan

  • Jangan pernah menempelkan perintah ke Terminal atau Run karena situs web menyuruh Anda melakukannya, terlepas dari seberapa resmi tampilan halamannya.
  • Selalu perbarui macOS dan browser Anda, dan bersikap skeptis terhadap pop-up yang mengklaim perbaikan mendesak diperlukan.
  • Gunakan pengaturan browser atau ekstensi yang membatasi area permukaan fingerprinting, seperti membatasi enumerasi font dan akses kanvas jika memungkinkan.
  • Jika Anda meneliti bagaimana enkripsi dan alat privasi cocok dengan strategi pertahanan yang lebih luas, memahami enkripsi VPN adalah titik awal yang baik, meskipun perlu diingat bahwa pertahanan fingerprinting memerlukan perlindungan terpisah di tingkat browser.

Kampanye ClickFix ini adalah studi kasus yang berguna tentang bagaimana penyerang beradaptasi: bukan dengan menciptakan malware baru, tetapi dengan meminjam infrastruktur pelacakan web modern untuk membuat trik lama lebih sulit dideteksi. Tetap waspada terhadap instruksi "perbaiki sendiri" yang tidak diminta tetap merupakan pertahanan paling sederhana dan paling efektif.