Una campagna ClickFix recentemente documentata è cresciuta silenziosamente fino a diventare una rete tentacolare di oltre 250 domini, tutti pensati per indurre gli utenti Mac a infettare i propri dispositivi. Ciò che rende degna di nota questa operazione non sono solo le dimensioni. È il fatto che gli aggressori stiano usando il fingerprinting del browser, la stessa tecnica di tracciamento su cui fanno affidamento inserzionisti e intermediari di dati, per decidere a chi mostrare l'esca malevola e a chi invece una pagina innocua.

Come la campagna ClickFix nasconde le proprie tracce

Gli attacchi ClickFix seguono uno schema familiare: un sito falso comunica ai visitatori che il loro browser o sistema presenta un errore e poi li istruisce a copiare e incollare un comando nel Terminale per "risolverlo". Quel comando, in realtà, installa malware, in questo caso una variante collegata ad AMOS, un noto infostealer per macOS progettato per raccogliere password salvate, dati del browser e informazioni sui portafogli di criptovalute.

Ciò che contraddistingue questa campagna è il fingerprinting lato server. Invece di servire l'esca malevola a ogni visitatore, l'infrastruttura degli aggressori esamina dettagli sul browser in arrivo, come la risoluzione dello schermo, i font installati, le stringhe user-agent e altri sottili segnali di configurazione, prima di decidere cosa mostrare. Scanner di sicurezza, crawler automatici e ricercatori che esaminano i domini tendono a vedere una pagina pulita e anonima. Solo gli utenti Mac reali che navigano normalmente vengono indirizzati verso l'esca ClickFix.

Si tratta di un'evoluzione significativa nel modo in cui le campagne malware eludono i rilevamenti. Invece di affidarsi esclusivamente a codice offuscato o a domini di breve durata, gli operatori utilizzano tecniche di identificazione passiva per filtrare il pubblico prima ancora che l'attacco abbia inizio. Con oltre 250 domini coinvolti, la campagna dispone di una ridondanza tale che l'abbattimento di singoli siti non la rallenta in modo apprezzabile.

Fingerprinting: uno strumento per inserzionisti e aggressori

Il fingerprinting del browser non è una novità e non è intrinsecamente malevolo. Da anni, siti web e reti pubblicitarie usano tecniche simili per tracciare gli utenti tra una sessione e l'altra senza affidarsi ai cookie. Questa campagna dimostra come gli stessi identici metodi di profilazione passiva impiegati per il tracciamento commerciale possano essere riutilizzati per servire selettivamente malware eludendo i controlli.

Vale la pena soffermarsi su questa sovrapposizione. Ogni volta che un browser espone dettagli tecnici granulari a un sito web, si crea un'opportunità di utilizzo di quei dati in modi che il visitatore non avrebbe mai immaginato, che si tratti di uno scambio pubblicitario che costruisce un profilo o, in questo caso, di un operatore di malware che decide chi valga la pena attaccare. I lettori che desiderano approfondire come funzionano il fingerprinting e altri meccanismi di tracciamento e cosa gli strumenti di privacy standard possono o non possono bloccare, potrebbero trovare utile ripassare cos'è una VPN e come funziona, dato che il fingerprinting è uno dei metodi di tracciamento che una VPN da sola non neutralizza completamente.

Perché tutto questo è importante anche oltre macOS

Sebbene questa particolare campagna prenda di mira gli utenti Mac con infostealer di tipo AMOS, la tecnica sottostante – usare il fingerprinting per nascondere selettivamente i contenuti malevoli alle difese automatiche – non è specifica per una piattaforma. Riflette una tendenza più ampia in cui gli operatori di malware prendono in prestito strumenti dal mondo della pubblicità digitale e dell’analisi per rendere la propria infrastruttura più resiliente. Logiche di occultamento simili sono apparse in altre campagne recenti che nascondono payload malevoli all'interno di servizi dall'aspetto legittimo, come la tecnica msaRAT del gruppo ransomware Chaos, che cela il traffico di comando e controllo all'interno di processi fidati del browser. Il filo conduttore è l'elusione attraverso la legittimità: gli aggressori si nascondono sempre più in piena vista, invece di affidarsi a infrastrutture palesemente sospette.

Cosa significa questo per te

Se usi un Mac, il rischio pratico è semplice: qualsiasi sito web che ti chiede di aprire il Terminale e incollare un comando per "risolvere" un errore, verificare che tu sia umano o gestire un presunto problema di sicurezza va considerato un campanello d'allarme. Gli aggiornamenti software legittimi e le procedure di risoluzione dei problemi non funzionano in questo modo. Nessuna vera correzione, aggiornamento del browser o verifica CAPTCHA richiede di eseguire manualmente comandi shell.

Poiché questa campagna si basa sul fingerprinting per colpire selettivamente utenti reali, i normali strumenti di scansione della sicurezza potrebbero non rilevarla tempestivamente, il che accresce l'importanza della consapevolezza dell'utente. È anche un promemoria del fatto che il tracciamento basato sul fingerprinting, del tipo usato sia dagli inserzionisti che dagli aggressori, è in gran parte invisibile durante una normale sessione di navigazione, a meno che non si utilizzino attivamente protezioni della privacy pensate per limitare ciò che il dispositivo rivela.

Consigli pratici

  • Non incollare mai un comando nel Terminale o in Esegui perché te lo dice un sito web, indipendentemente dall'aspetto ufficiale della pagina.
  • Mantieni aggiornati macOS e il browser, e sii scettico verso i pop-up che affermano che sono necessarie correzioni urgenti.
  • Usa impostazioni del browser o estensioni che riducano la superficie di fingerprinting, ad esempio limitando, dove possibile, l'enumerazione dei font e l'accesso al canvas.
  • Se stai valutando come gli strumenti di crittografia e privacy si inseriscano in una strategia di difesa più ampia, comprendere la crittografia VPN è un buon punto di partenza, ricordando però che le difese contro il fingerprinting richiedono protezioni separate a livello di browser.

Questa campagna ClickFix è un utile caso di studio su come gli aggressori si adattano: non inventando nuovo malware, ma prendendo in prestito l'infrastruttura di tracciamento del web moderno per rendere più difficili da intercettare vecchi trucchi. Mantenere la cautela di fronte a istruzioni "fai da te" non richieste resta la difesa più semplice ed efficace.