En nyligen dokumenterad ClickFix-kampanj har i tysthet vuxit till ett omfattande nätverk med över 250 domäner, alla byggda för att lura Mac-användare att infektera sina egna maskiner. Det som gör denna operation anmärkningsvärd är inte bara dess omfattning. Det är det faktum att angriparna använder webbläsarfingeravtryck, samma spårningsteknik som annonsörer och datamäklare förlitar sig på, för att avgöra vem som får se ett skadligt lockbete och vem som istället får en ofarlig sida.

Hur ClickFix-kampanjen döljer sina spår

ClickFix-attacker följer ett välbekant mönster: en falsk webbplats säger till besökaren att webbläsaren eller systemet har ett fel och instruerar dem sedan att kopiera och klistra in ett kommando i Terminal för att "åtgärda" det. Det kommandot installerar i själva verket skadlig kod, i detta fall en variant kopplad till AMOS, en känd macOS-infostealer som är utformad för att samla in sparade lösenord, webbläsardata och information om kryptovaluta-plånböcker.

Det som särskiljer denna kampanj är fingeravtryck på serversidan. Istället för att visa det skadliga lockbetet för varje besökare, inspekterar angriparnas infrastruktur detaljer om den inkommande webbläsaren – saker som skärmupplösning, installerade teckensnitt, användaragentsträngar och andra subtila konfigurationssignaler – innan den bestämmer vad som ska visas. Säkerhetsskannrar, automatiserade genomsökare och forskare som undersöker domänerna tenderar att få en ren, intetsägande sida. Verkliga Mac-användare som surfar normalt är de som leds in i ClickFix-fällan.

Detta är en betydelsefull utveckling i hur skadlig kod-kampanjer undviker upptäckt. Istället för att enbart förlita sig på fördunklad kod eller kortlivade domäner, använder operatörerna passiva identifieringstekniker för att filtrera sin målgrupp innan en attack ens inleds. Med över 250 domäner inblandade, har kampanjen tillräcklig redundans för att nedstängning av enskilda webbplatser knappast bromsar den totalt sett.

Fingeravtryck: Ett verktyg för både annonsörer och angripare

Webbläsarfingeravtryck är inget nytt, och det är inte ont i sig självt. Webbplatser och annonsnätverk har använt liknande tekniker i åratal för att spåra användare över sessioner utan att förlita sig på cookies. Vad denna kampanj demonstrerar är hur exakt samma passiva profileringsmetoder som används för kommersiell spårning kan återanvändas för att selektivt leverera skadlig kod samtidigt som upptäckt undviks.

Den överlappningen är värd att stanna upp vid. Varje gång en webbläsare exponerar detaljerad teknisk information för en webbplats, skapas en möjlighet för dessa data att användas på sätt som besökaren aldrig förväntat sig, oavsett om det är en annonsbörs som bygger en profil eller, som i detta fall, en skadlig kod-operatör som avgör vem som är värd att attackera. Läsare som vill ha en djupare inblick i hur fingeravtryck och andra spårningsmekanismer fungerar, och vad vanliga integritetsverktyg kan och inte kan stoppa, kan ha nytta av att återbesöka vad ett VPN är och hur det fungerar, eftersom fingeravtryck är en av de spårningsmetoder som ett VPN inte fullständigt neutraliserar.

Varför detta är relevant bortom macOS

Även om just denna kampanj riktar sig mot Mac-användare med AMOS-liknande infostealers, är den underliggande tekniken – att använda fingeravtryck för att selektivt dölja skadligt innehåll för automatiserade försvar – inte plattformsspecifik. Den speglar en bredare trend där operatörer av skadlig kod lånar verktyg från ad-tech- och analysvärlden för att göra sin infrastruktur mer motståndskraftig. Liknande kamouflagelogik har dykt upp i andra nyliga kampanjer som gömmer skadliga nyttolaster inuti legitima tjänster, som till exempel Chaos ransomware-gruppens msaRAT-teknik, vilken döljer kommando-och-kontroll-trafik inuti betrodda webbläsarprocesser. Den gemensamma nämnaren är undvikande genom legitimitet: angripare gömmer sig allt oftare i öppen dager istället för att förlita sig på uppenbart misstänkt infrastruktur.

Vad detta innebär för dig

Om du använder en Mac, är den praktiska risken här tydlig: varje webbplats som ber dig att öppna Terminal och klistra in ett kommando för att "åtgärda" ett fel, verifiera att du är människa eller lösa ett påstått säkerhetsproblem, bör betraktas som en varningssignal. Äkta programuppdateringar och felsökningssteg fungerar inte på detta sätt. Ingen riktig fix, webbläsaruppdatering eller CAPTCHA-verifiering kräver att du manuellt kör skalkommandon.

Eftersom denna kampanj förlitar sig på fingeravtryck för att selektivt rikta sig mot verkliga användare, är det inte säkert att vanliga säkerhetsskanningsverktyg upptäcker den tidigt, vilket lägger större vikt vid användarmedvetenhet. Det är också en påminnelse om att fingeravtrycksbaserad spårning, av den typ som både annonsörer och angripare använder, till stor del är osynlig för den genomsnittliga webbläsarsessionen, såvida du inte aktivt använder integritetsskydd utformat för att begränsa vad din enhet avslöjar.

Praktiska åtgärder

  • Klistra aldrig in ett kommando i Terminal eller Kör för att en webbplats säger åt dig det, oavsett hur officiell sidan ser ut.
  • Håll macOS och din webbläsare uppdaterade, och var skeptisk mot popup-fönster som påstår att akuta åtgärder krävs.
  • Använd webbläsarinställningar eller tillägg som begränsar fingeravtryckets attackyta, till exempel genom att begränsa teckensnittsuppräkning och canvas-åtkomst där det är möjligt.
  • Om du undersöker hur kryptering och integritetsverktyg passar in i en bredare försvarsstrategi, är förståelse av VPN-kryptering en bra startpunkt, men kom ihåg att försvar mot fingeravtryck kräver separata skydd på webbläsarnivå.

Denna ClickFix-kampanj är en användbar fallstudie i hur angripare anpassar sig: inte genom att uppfinna ny skadlig kod, utan genom att låna den moderna webbens spårningsinfrastruktur för att göra gamla trick svårare att fånga. Att förbli försiktig med oombedda "fixa-det-själv"-instruktioner förblir det enklaste och mest effektiva försvaret.