Gli attacchi ClickFix si stanno diffondendo infettando i computer Windows e macOS attraverso falsi CAPTCHA. Il ricercatore indipendente Kevin Beaumont ha dichiarato su Reddit che gli utenti si sono fatti compromettere il computer con questo metodo; ha affermato che gli aggressori prendono il controllo di siti legittimi per mostrare falsi CAPTCHA. La desensibilizzazione degli utenti alle istruzioni sospette, dovuta ai CAPTCHA continui, agli annunci pubblicitari impossibili da chiudere e alle interfacce che cambiano, aumenta il successo degli attacchi.
L’attacco inizia generalmente con un CAPTCHA che imita Cloudflare. L’utente viene indirizzato a copiare il comando malevolo nascosto, a incollarlo in Windows Run, PowerShell o nel terminale di macOS e a premere Invio. Il fatto che le istruzioni provengano da siti utilizzati da anni rende più difficile insospettirsi, soprattutto per le persone inesperte in materia di sicurezza informatica.
Secondo BlueVoyant, per diffondere il malware precedentemente tracciato come Lorem Ipsum erano necessari portali di download indirizzati tramite SEO e sostenuti da annunci malevoli, certificati di firma considerati affidabili da Microsoft e domini costantemente modificati. Il ritorno di ClickFix alla fine di maggio 2026 ha eliminato la necessità della firma del codice e ha ampliato il bacino delle vittime, che non è più limitato alle persone alla ricerca di Microsoft Teams, includendo chiunque visiti siti compromessi.
Jamf e un ricercatore hanno documentato versioni per macOS in grado di aggirare Gatekeeper. Cisco Talos ha riferito dell’utilizzo di documenti Google Sheets; Sandworm e Netskope hanno invece segnalato l’impiego di smart contract basati su blockchain. Netskope ha rilevato che 5.400 siti inviavano segnali a questa infrastruttura. BlockBlock e Ublock forniscono difesa, mentre gli esperti raccomandano di sensibilizzare gli utenti inesperti.
Perché è importante
Ciò significa che l’attacco ha smesso di essere una campagna mirata a una specifica applicazione o a un gruppo di utenti, trasformandosi in una minaccia più ampia, in grado di raggiungere i visitatori di siti compromessi. Il venir meno della necessità di certificati di firma considerati attendibili da Microsoft elimina alcuni costi e vincoli della precedente catena di distribuzione. La presenza di campioni in grado di aggirare diversi meccanismi di difesa su Windows e macOS dimostra che le abitudini di sicurezza specifiche di una singola piattaforma non saranno sufficienti. L’utilizzo di canali come Google Sheets e gli smart contract basati su blockchain dimostra inoltre che anche la fiducia degli utenti nei servizi che conoscono è un’area di possibile sfruttamento. Per questo diventa importante che gli utenti riconoscano l’incongruenza tra un’istruzione CAPTCHA e l’esecuzione di comandi del sistema operativo, mentre resta una questione aperta in che misura le persone inesperte riescano a cogliere questa distinzione all’interno di flussi di verifica consueti.
Contesto
Macs non è un nome nuovo nell’archivio di FikirPilot: negli ultimi 90 giorni abbiamo pubblicato una notizia in cui compariva questo nome; quell’articolo è datato 26 agosto 2026.