ClickFix: nuovo attacco Mac con fake pagina Apple e Atomic Stealer

Analisi Tecnica

La campagna ClickFix sfrutta una pagina web contraffatta a tema Apple per indurre gli utenti a eseguire uno script malevolo tramite Script Editor, bypassando le protezioni di macOS 26.4. Questo approccio è una variante del social engineering che mira a ingannare gli utenti facendo loro credere di dover eseguire un'operazione di manutenzione o risoluzione dei problemi.

Il vettore di attacco utilizza un flusso di lavoro avviato dal browser per aprire Script Editor, un editor di codice preinstallato su macOS per AppleScript e JavaScript for Automation. Questo metodo è stato adottato dopo che Apple ha introdotto una funzionalità di sicurezza in macOS 26.4 che scandisce i comandi incollati in Terminal prima dell'esecuzione.

• Gli utenti vengono indirizzati a una pagina maliziosa che offre istruzioni per "reclamare spazio su disco sul Mac".
• La pagina contiene un pulsante "Esegui" che, quando cliccato, mostra un prompt per consentire al sito web di aprire Script Editor.
• Script Editor si apre con uno script pre-popolato dagli attaccanti.
• A seconda della versione di macOS, gli utenti potrebbero vedere un avviso contro l'esecuzione dello script.
• Se gli utenti ignorano l'avviso e permettono allo script di essere salvato ed eseguito, esso scarica e esegue una variante di Atomic Stealer (AMOS).

Atomic Stealer è un software malevolo in grado di raccogliere informazioni sul sistema, rubare dati dal Keychain di Apple, informazioni di autocompletamento, password, cookie, dati delle carte di credito dai browser, e informazioni da portafogli di criptovalute.

di mercato/sicurezza

La campagna ClickFix rilevata da Jamf rappresenta un'evoluzione significativa delle minacce informatiche per macOS, sfruttando una nuova variante di ingegneria sociale per diffondere malware. Questo attacco si inserisce in un trend crescente di campagne maligne che mirano specificamente agli utenti macOS, un segmento di mercato spesso sottostimato in termini di rischi di sicurezza.

Il malware distribuito, Atomic Stealer (noto anche come AMOS), è un prodotto di tipo "subscription" venduto a criminali informatici. Questo modello di business illecito indica una professionalizzazione del cybercrime, con attori malintenzionati che investono in strumenti sofisticati per massimizzare i profitti. Atomic Stealer è capace di raccogliere informazioni sensibili, tra cui password, dati di autofill, cookie e informazioni di pagamento da browser, oltre a dati da portafogli crittografici.

L'attacco sfrutta una tecnica di ingegneria sociale nota come ClickFix, inizialmente diretta verso utenti Windows ma ora estesa anche a macOS e Linux. Questa tecnica induce le vittime a eseguire comandi maliziosi sotto mentite spoglie di manutenzione di sistema. Apple ha introdotto una funzionalità di sicurezza in macOS 26.4 per scansionare i comandi incollati in Terminal, costringendo gli attaccanti a utilizzare Script Editor come vettore di attacco alternativo.

La campagna maliziosa sfrutta una pagina web falsa a tema Apple, che induce gli utenti a seguire istruzioni per "reclamare spazio su disco". Questo approccio dimostra come gli attaccanti stiano diventando sempre più abili nel creare pagine web convincenti per ingannare gli utenti. La pagina maliziosa utilizza un flusso di lavoro basato su browser per aprire Script Editor, un editor di codice preinstallato su macOS, precompilato con lo script degli attaccanti.

Jamf ha condiviso indicatori di compromissione relativi a questa campagna di distribuzione di malware, fornendo al settore della sicurezza strumenti per rilevare e mitigare tali attacchi. Questo sottolinea l'importanza della collaborazione tra ricercatori di sicurezza per contrastare le minacce emergenti.

Consigli Pratici per l'Utente

Gli utenti Mac devono essere consapevoli della nuova campagna ClickFix che sfrutta pagine web false a tema Apple per distribuire malware. La tattica inganna gli utenti inducendoli a eseguire script dannosi tramite Script Editor, bypassando le protezioni di Terminal introdotte con macOS 26.4.

Per difendersi, è fondamentale verificare l'autenticità delle pagine web prima di seguire qualsiasi istruzione. Non cliccare su pulsanti "Execute" o permettere a siti sconosciuti di aprire Script Editor.

Se Script Editor si apre con uno script pre-popolato, non ignorare eventuali avvisi di sicurezza. Non salvare né eseguire script provenienti da fonti non verificabili.

Atomic Stealer (AMOS) ruba dati sensibili, tra cui password, informazioni di autofill, cookie, dati delle carte di credito e criptovalute. Gli utenti devono monitorare attività sospette e installare aggiornamenti di sicurezza.

Jamf ha condiviso indicatori di compromissione. Per ulteriori dettagli tecnici, consultare il blog di Jamf.

Conclusioni

La campagna ClickFix che sfrutta pagine fake Apple per distribuire malware su macOS rappresenta un'evoluzione significativa delle tecniche di social engineering. Gli attaccanti hanno rapidamente adattato le loro strategie in risposta alle contromisure introdotte da Apple in macOS 26.4, dimostrando una capacità di innovazione che suggerisce un futuro di minacce sempre più sofisticate.

L'uso di Script Editor come vettore di attacco indica un trend preoccupante: gli aggressori stanno esplorando nuovi metodi per bypassare le protezioni integrate, spostandosi da Terminal a strumenti meno monitorati. Questo approccio potrebbe ispirare altre campagne malevole, ampliando il panorama delle minacce per gli utenti macOS.

La diffusione di Atomic Stealer come prodotto in abbonamento per criminali sottolinea la commercializzazione del malware, un fenomeno in crescita che democratizza l'accesso a strumenti avanzati di furto di dati. Le implicazioni sono chiare: le organizzazioni devono prepararsi a difendersi da attacchi sempre più personalizzati e mirati.

Infine, la condivisione degli indicatori di compromesso da parte di Jamf è un passo cruciale, ma non sufficiente. La comunità della cybersecurity dovrà collaborare strettamente per sviluppare soluzioni proattive, inclusi aggiornamenti software tempestivi e campagne di sensibilizzazione per gli utenti finali.