Una nuova campagna ClickFix su macOS sta alzando il livello di evasione usando oltre 250 domini e una tecnica di browser fingerprinting lato server per decidere in tempo reale se mostrare o meno una pagina esca con malware. In pratica i siti coinvolti analizzano il profilo del visitatore prima di servire il contenuto, nascondendo le pagine malevole a crawler, sandbox e ambienti di analisi automatica, mentre gli utenti Mac selezionati vedono un falso download software.
Il flusso osservato porta alla distribuzione di un infostealer per macOS noto come Atomic Stealer AMOS, mentre l’infrastruttura più ampia risulta associata anche a MacSync. Il punto chiave rimane la componente di social engineering: la vittima viene indotta a copiare e incollare un comando offuscato nel Terminale. Quel comando scarica script aggiuntivi e avvia la catena di infezione, con l’obiettivo di sottrarre credenziali, dati dei browser, archivi di autenticazione, wallet di criptovalute e file sensibili.
Il meccanismo di fingerprinting utilizza un piccolo script JavaScript che raccoglie vari segnali del browser e del dispositivo. Tra questi:
- Piattaforma dichiarata dal browser
- Dimensioni di schermo e finestra
- Indicatori WebGL utili a distinguere hardware reale da macchine virtuali o ambienti emulati
- Fuso orario
- Presenza in iframe
- Supporto al touch
Vengono inclusi anche controlli pensati per individuare analisti, come un contatore che reagisce quando la console sviluppatore è aperta e una verifica canPlayType per video mp4 riutilizzata come trappola contro browser stealth che simulano la compatibilità codec. I dati vengono inviati al server con un artefatto identificabile, mode php, senza richiedere interazione.
In base al risultato, lo stesso dominio può rispondere con una pagina vuota, un sito apparentemente legittimo o una finta pagina stile GitHub con pulsante Download for macOS e badge di editore verificato. Questo significa che una risposta innocua non è garanzia di sicurezza. Per la difesa è più efficace cercare il gate di fingerprinting e i pattern infrastrutturali, come:
- Form auto-invianti
- Campi nascosti
- Indicatore “mode php”
- Percorsi di staging come /curl/ con id
Sul fronte utente la regola più importante è non eseguire mai istruzioni web che chiedono di incollare comandi nel Terminale, anche se presentate come CAPTCHA, chat di supporto o procedure di download.