ClickFix sta diventando una delle tecniche di social engineering più efficaci per distribuire malware senza sfruttare vulnerabilità. Il meccanismo è semplice e pericoloso proprio perché coinvolge direttamente la vittima.
Una pagina web trappola mostra un falso controllo tipo captcha o un errore di sistema e, tramite script, inserisce negli appunti un comando. L’utente viene poi guidato a premere una combinazione di tasti, incollare il comando e avviarlo. In questo modo il malware viene eseguito manualmente e spesso senza un file iniziale evidente, riducendo le possibilità di rilevamento da parte di controlli tradizionali.
Analisi recenti su migliaia di payload di campagne attive mostrano una forte evoluzione. I comandi malevoli non sono più statici ma vengono generati da server backend che funzionano come un servizio su richiesta. Questi sistemi verificano token di accesso, registrano le richieste e restituiscono ogni volta una versione diversa dello stesso payload, con un livello di offuscamento variabile. Tra le tecniche osservate compaiono codifiche e cifrature multiple e compressioni, con wrapper che cambiano continuamente. Sotto la maschera, il contenuto tende ancora a convergere verso script eseguiti in memoria tramite PowerShell, ma la direzione è chiara: personalizzazione sempre maggiore e adattamento rapido per eludere le difese. Le piattaforme inoltre servono esche in molte lingue e selezionano il comando in base al sistema operativo, includendo varianti per macOS oltre a Windows.
Un’altra novità è il metodo basato sulla cartella Downloads, pensato per aggirare i controlli che monitorano gli appunti e per ridurre l’efficacia della scansione script di Windows. Invece di copiare negli appunti il payload completo, la pagina scarica silenziosamente un archivio nella cartella Download e copia solo una breve riga orchestratrice che sposta il file, lo estrae e avvia lo script contenuto. La riga incollata appare più innocua mentre il codice dannoso resta nel file scaricato, rendendo più difficile il blocco preventivo.
Dal punto di vista difensivo, i segnali più affidabili sono le catene di processo. Occorre prestare attenzione a explorer.exe o WindowsTerminal.exe che avviano powershell.exe, cmd.exe o msiexec.exe e subito dopo effettuano connessioni di rete. Anche la scelta di usare Windows Terminal al posto della finestra Esegui rende l’attività più simile a un uso normale e lascia meno tracce in specifiche chiavi di registro comunemente analizzate.