Een nieuw gedocumenteerde ClickFix-campagne is stilletjes uitgegroeid tot een uitgestrekt netwerk van meer dan 250 domeinen, allemaal ontworpen om Mac-gebruikers te verleiden hun eigen machines te infecteren. Wat deze operatie opmerkelijk maakt, is niet alleen de schaal. Het is het feit dat de aanvallers browserfingerprinting gebruiken, dezelfde trackingtechniek waar adverteerders en gegevenshandelaren op vertrouwen, om te bepalen wie een kwaadaardige lokker te zien krijgt en wie een onschuldige pagina.

Hoe de ClickFix-campagne zijn sporen uitwist

ClickFix-aanvallen volgen een bekend patroon: een nepwebsite vertelt bezoekers dat hun browser of systeem een fout vertoont en instrueert hen vervolgens een opdracht te kopiëren en in de Terminal te plakken om deze te 'repareren'. Die opdracht installeert in werkelijkheid malware, in dit geval een variant van AMOS, een bekende macOS-infostealer die is ontworpen om opgeslagen wachtwoorden, browsergegevens en informatie over cryptowallets te stelen.

Wat deze campagne onderscheidt, is server-side fingerprinting. In plaats van elke bezoeker de kwaadaardige lokker voor te schotelen, inspecteert de infrastructuur van de aanvallers details over de binnenkomende browser—dingen zoals schermresolutie, geïnstalleerde lettertypen, user-agentstrings en andere subtiele configuratiesignalen—voordat wordt besloten wat er wordt getoond. Beveiligingsscanners, geautomatiseerde crawlers en onderzoekers die de domeinen onderzoeken, krijgen doorgaans een schone, onopvallende pagina te zien. Echte Mac-gebruikers die normaal browsen, worden daarentegen in de ClickFix-lokker geleid.

Dit is een betekenisvolle evolutie in hoe malwarecampagnes detectie omzeilen. In plaats van uitsluitend te vertrouwen op versluierde code of kortstondige domeinen, gebruiken de beheerders passieve identificatietechnieken om hun publiek te filteren nog voordat een aanval begint. Met naar verluidt meer dan 250 domeinen heeft de campagne voldoende redundantie, zodat het neerhalen van afzonderlijke sites het geheel nauwelijks vertraagt.

Fingerprinting: een tool voor zowel adverteerders als aanvallers

Browserfingerprinting is niet nieuw en niet inherent kwaadaardig. Websites en advertentienetwerken gebruiken al jaren vergelijkbare technieken om gebruikers over sessies heen te volgen zonder afhankelijk te zijn van cookies. Wat deze campagne aantoont, is hoe exact dezelfde passieve profileringsmethoden die voor commerciële tracking worden gebruikt, kunnen worden hergebruikt om selectief malware te verspreiden en tegelijk detectie te omzeilen.

Die overlap is het waard om even bij stil te staan. Elke keer dat een browser gedetailleerde technische informatie blootstelt aan een website, ontstaat er een kans dat die gegevens worden gebruikt op manieren die de bezoeker nooit had voorzien—of het nu door een advertentiebeurs is die een profiel opbouwt of, in dit geval, een malwarebeheerder die beslist wie de moeite waard is om aan te vallen. Lezers die dieper willen begrijpen hoe fingerprinting en andere trackingmechanismen werken, en wat standaard privacy-tools wel en niet kunnen tegenhouden, doen er goed aan terug te keren naar wat een VPN is en hoe het werkt, aangezien fingerprinting een van de trackingmethoden is die een VPN alleen niet volledig neutraliseert.

Waarom dit verder reikt dan macOS

Hoewel deze specifieke campagne zich richt op Mac-gebruikers met AMOS-achtige infostealers, is de onderliggende techniek—fingerprinting gebruiken om kwaadaardige inhoud selectief te verbergen voor geautomatiseerde verdediging—niet platformgebonden. Het weerspiegelt een bredere trend waarbij malwarebeheerders tools uit de advertentietechnologie- en analyticswereld overnemen om hun infrastructuur weerbaarder te maken. Vergelijkbare verhullingslogica is opgedoken in andere recente campagnes die kwaadaardige ladingen verbergen in legitiem ogende diensten, zoals de msaRAT-techniek van de Chaos-ransomwaregroep, die command-and-control-verkeer verbergt binnen vertrouwde browserprocessen. De rode draad is ontwijking door legitimiteit: aanvallers verschuilen zich steeds vaker in het zicht in plaats van te vertrouwen op overduidelijk verdachte infrastructuur.

Wat dit voor jou betekent

Als je een Mac gebruikt, is het praktische risico hier eenvoudig: elke website die je vraagt om Terminal te openen en een opdracht te plakken om een fout te 'repareren', te verifiëren dat je een mens bent of een vermeend beveiligingsprobleem op te lossen, moet je als een alarmsignaal beschouwen. Legitieme software-updates en probleemoplossingsstappen werken niet op deze manier. Geen enkele echte oplossing, browserupdate of CAPTCHA-verificatie vereist dat je handmatig shell-commando's uitvoert.

Omdat deze campagne afhankelijk is van fingerprinting om selectief echte gebruikers te targeten, kan standaard beveiligingsscanning deze niet altijd vroegtijdig opmerken, waardoor er meer gewicht komt te liggen op de alertheid van de gebruiker. Het is ook een herinnering dat fingerprinting-gebaseerde tracking, van het soort dat zowel adverteerders als aanvallers gebruiken, grotendeels onzichtbaar is voor de gemiddelde browsersessie, tenzij je actief privacybescherming gebruikt die is ontworpen om te beperken wat je apparaat onthult.

Concrete aandachtspunten

  • Plak nooit een opdracht in Terminal of Uitvoeren omdat een website je dat vertelt, hoe officieel de pagina er ook uitziet.
  • Houd macOS en je browser up-to-date en wees sceptisch over pop-ups die beweren dat er dringende reparaties nodig zijn.
  • Gebruik browserinstellingen of extensies die het oppervlak voor fingerprinting verkleinen, zoals het beperken van lettertype-opsomming en canvas-toegang waar mogelijk.
  • Als je onderzoekt hoe encryptie- en privacy-tools passen in een bredere verdedigingsstrategie, is VPN-versleuteling begrijpen een goed startpunt, hoewel je moet onthouden dat verdediging tegen fingerprinting aparte bescherming op browser-niveau vereist.

Deze ClickFix-campagne is een nuttige casestudy in hoe aanvallers zich aanpassen: niet door nieuwe malware uit te vinden, maar door de trackinginfrastructuur van het moderne web over te nemen om oude trucs moeilijker te vangen te maken. Voorzichtig blijven met ongevraagde 'repareer het zelf'-instructies blijft de eenvoudigste en effectiefste verdediging.