Microsoft ha identificato un’operazione ClickFix rivolta a macOS che utilizza oltre 250 domini front-end per filtrare i visitatori prima di mostrare un’esca malevola. L’infrastruttura della campagna esegue lato server il fingerprinting di browser e dispositivi, aiutando gli attaccanti a evitare crawler, sandbox automatizzate e ricercatori, mentre prendono di mira selettivamente le persone che sembrano utilizzare hardware Mac autentico.
Nell’attività analizzata da Microsoft, ai visitatori idonei veniva mostrata una pagina in stile GitHub che pubblicizzava un download per macOS e visualizzava un falso badge “Editore verificato”. Il cluster più ampio di domini è stato associato a MacSync e Atomic Stealer (AMOS), sebbene Microsoft abbia dichiarato di non aver collegato ogni dominio a un payload specifico. L’azienda non ha inoltre divulgato il numero delle vittime, le organizzazioni prese di mira o l’identità degli operatori.
Il fingerprinting seleziona la risposta
Il gate JavaScript, di circa 2,5 kilobyte, esamina caratteristiche del browser e del sistema, tra cui la piattaforma dichiarata, le dimensioni dello schermo e della finestra, le informazioni WebGL, il fuso orario, lo stato degli iframe e il supporto al tocco. Ulteriori controlli cercano segnali di analisi, come una console per sviluppatori aperta o risposte insolite ai test sulle funzionalità multimediali del browser.
Le informazioni raccolte vengono inviate automaticamente e il server determina quali contenuti restituire. Ai visitatori indesiderati può essere mostrata una pagina vuota, un’estensione contraffatta o un sito legittimo dall’aspetto non correlato. Di conseguenza, lo stesso dominio può apparire innocuo durante una visita e distribuire un’esca malware durante un’altra. Microsoft ha osservato che i nomi di dominio contenenti “file” e normali parole del dizionario possono costituire un indizio utile per le attività di threat hunting, ma non dovrebbero essere considerati da soli una prova di compromissione.
L’esecuzione tramite Terminale resta essenziale
L’attacco dipende ancora dall’ingegneria sociale. Alla vittima viene chiesto di copiare un comando offuscato nel Terminale di macOS e di eseguirlo. Nella catena analizzata, il comando contattava un endpoint /curl/<id>, scaricava script aggiuntivi e infine avviava AMOS. Lo stealer può cercare credenziali del browser, dati di autenticazione, portafogli di criptovalute, file sensibili e altre informazioni memorizzate.
I responsabili della difesa dovrebbero esaminare le attività insolite del Terminale successive a una navigazione sospetta, tra cui curl reindirizzato a zsh, la decodifica Base64, osascript, la creazione di archivi e richieste POST in uscita. La ricerca di form di fingerprinting, campi nascosti, del marcatore mode:"php" e di percorsi di staging condivisi potrebbe essere più efficace del blocco individuale dei domini usa e getta.
Gli utenti dovrebbero rifiutare qualsiasi sito web, CAPTCHA, messaggio di chat o richiesta di download che chieda loro di incollare comandi nel Terminale. Microsoft ha dichiarato che le recenti protezioni di macOS possono avvisare in caso di incolla sospetto originato dal browser, mentre XProtect può analizzare i processi correlati e l’attività di rete. Il livello di fingerprinting modifica il modo in cui l’esca viene esposta, ma non il requisito centrale: l’utente deve eseguire il comando.