InstallFix: Nuova Tecnica di Social Engineering Distribuisce Malware Tramite CLI Falsificate

Punti Chiave:

• Minaccia: InstallFix, una variante di ClickFix, inganna gli utenti facendogli eseguire comandi dannosi tramite pagine CLI falsificate.
• Colpiti: Sviluppatori e utenti meno esperti che utilizzano strumenti CLI.
• Contromisura: Ottenere istruzioni di installazione solo da siti web ufficiali e verificare attentamente i comandi prima dell'esecuzione.

InstallFix: Una Minaccia in Crescita

Attaccanti stanno sfruttando una variante della tecnica di social engineering ClickFix, denominata InstallFix, per indurre gli utenti a eseguire comandi dannosi. L'obiettivo è far credere agli utenti di installare strumenti legittimi per la command-line interface (CLI), mascherando la distribuzione di malware.

Sfruttando la Fiducia nel ‘Curl-to-Bash’

La nuova tattica si appoggia alla pratica sempre più diffusa tra gli sviluppatori di scaricare ed eseguire script direttamente tramite comandi "curl-to-bash" da fonti online, spesso senza un'attenta verifica del contenuto. I ricercatori di Push Security, azienda specializzata in rilevamento e risposta alle minacce per browser, hanno scoperto che gli attaccanti utilizzano InstallFix con pagine clonate di strumenti CLI popolari, contenenti istruzioni di installazione dannose.

L’Inganno: Pagine Clonate e Istruzioni Falsificate

Secondo i ricercatori, la fiducia implicita nei domini web ("boils down to 'trust the domain'") e la crescente partecipazione di utenti meno esperti nell'utilizzo di strumenti precedentemente riservati agli sviluppatori, rendono InstallFix una minaccia in aumento. Un esempio concreto è una pagina di installazione clonata per Claude Code, l'assistente di codifica CLI di Anthropic. La pagina riproduce fedelmente il layout, il branding e la barra laterale della documentazione ufficiale. La differenza cruciale risiede nelle istruzioni di installazione per macOS e Windows (PowerShell e Command Prompt), che veicolano malware da un server controllato dagli attaccanti.

“Un utente che accede alla pagina fraudolenta e segue le istruzioni false potrebbe continuare normalmente senza accorgersi di nulla”, sottolineano i ricercatori di Push Security.

Promozione Tramite Malvertising e Risultati di Ricerca Sponsorizzati

Le pagine fraudolente vengono promosse attraverso campagne di malvertising su Google Ads, che fanno apparire annunci dannosi nei risultati di ricerca per query come “Claude Code install” e “Claude Code CLI”. BleepingComputer ha confermato che queste campagne sono ancora attive, con risultati di ricerca sponsorizzati che rimandano a siti web Squarespace (claude-code-cmd.squarespace[.]com) che ospitano cloni perfetti della documentazione ufficiale di Claude Code.

Payload: Malware Amatera Stealer

L'analisi di Push Security rivela che il payload distribuito tramite gli attacchi InstallFix è il malware Amatera Stealer, progettato per rubare dati sensibili (portafogli di criptovalute, credenziali) dai sistemi compromessi. I comandi dannosi per macOS contengono istruzioni base64-encoded per scaricare ed eseguire un eseguibile da un dominio controllato dagli attaccanti. Per gli utenti Windows, il comando sfrutta l’utility legittima ‘mshta.exe’ per recuperare il malware, attivando processi aggiuntivi come ‘conhost.exe’ per supportare l'esecuzione del payload finale, Amatera information stealer.

Amatera è un malware relativamente recente, presumibilmente basato su ACR Stealer, offerto come servizio in abbonamento (MaaS) a cybercriminali. In precedenza, è stato distribuito tramite attacchi ClickFix che hanno abusato degli script Windows App-V per la consegna del payload.

Evasività e Hosting su Piattaforme Legittime

Gli attacchi InstallFix sono particolarmente evasivi, anche perché i siti dannosi sono ospitati su piattaforme legittime come Cloudflare Pages, Squarespace e Tencent EdgeOne.

Tecniche Simili e Consigli per la Sicurezza

In passato, gli attaccanti hanno utilizzato InstallFix con falsi installer OpenClaw ospitati in repository GitHub, promossi dai risultati di ricerca potenziati dall'intelligenza artificiale di Bing.

Gli utenti che cercano Claude Code devono ottenere le istruzioni di installazione solo da siti web ufficiali, bloccare o saltare i risultati di Google Search sponsorizzati e preferire l'utilizzo di portali di download software affidabili per scaricare gli strumenti necessari.

Indicatori di Compromissione

I ricercatori hanno pubblicato indicatori di compromissione che includono i domini utilizzati per servire le guide clonate, per ospitare i payload dannosi e i comandi InstallFix.

Protezione Avanzata: Oltre le Minacce Notevoli

La crescente sofisticazione del malware richiede un approccio proattivo. Il Red Report 2026 rivela come le nuove minacce utilizzano tecniche matematiche per rilevare sandbox e nascondersi. Analizzare 1,1 milioni di campioni dannosi permette di identificare le 10 tecniche più utilizzate e valutare l'efficacia dei sistemi di sicurezza esistenti.