Microsoft Threat Intelligence ha pubblicato i risultati su una campagna di attacco ClickFix in evoluzione che ora utilizza l'infrastruttura blockchain e tecniche sofisticate di fingerprinting del browser per compromettere su larga scala i sistemi Windows e macOS. La campagna illustra una tendenza più ampia in cui gli attori delle minacce si appropriano dell'infrastruttura decentralizzata per ostacolare le attività di remediation tradizionali, estendendo un pattern di abuso osservato inizialmente con l'uso di siti web compromessi nella campagna ClearFake.

Le operazioni Windows sfruttano EtherHiding sulla BNB Smart Chain

Il componente della campagna focalizzato su Windows impiega una tecnica nota come EtherHiding, che memorizza i comandi malevoli direttamente all'interno di smart contract distribuiti sulla BNB Smart Chain. EtherHiding è stato documentato pubblicamente alla fine del 2023 da Guardio Labs come un'evoluzione della campagna ClearFake, e la sua adozione da parte di ulteriori cluster di minacce segnala che questo approccio si sta diffondendo oltre i suoi creatori originari. Gli attaccanti iniettano JavaScript con codifica Base64 nei siti web compromessi; questo codice interrogare gli smart contract on-chain attraverso gateway RPC per recuperare le istruzioni della fase successiva.

Poiché il payload malevolo risiede on-chain, non può essere eliminato attraverso i convenzionali metodi di takedown o sinkholing. Solo il proprietario del portafoglio di criptovalute utilizzato per il deployment ha la possibilità di modificare i contenuti del contratto. Ciò sposta la sfida di remediation dalla disattivazione di un server al coordinamento con gli operatori dell'infrastruttura blockchain: un problema materialmente diverso per i difensori.

Alle vittime vengono mostrati falsi CAPTCHA che le istruiscono ad aprire la finestra di dialogo Esegui di Windows e incollare i comandi forniti dagli attaccanti. Le catene di esecuzione risultanti abusano delle utility di sistema native, tra cui PowerShell, mshta, rundll32, msiexec e curl. Queste catene impiegano frequentemente tecniche di caret splitting e offuscamento delle variabili d'ambiente per eludere il rilevamento di sicurezza.

Microsoft riferisce che queste campagne prendono di mira migliaia di dispositivi aziendali e consumer a livello globale ogni giorno, distribuendo payload come Lumma Stealer, Xworm, AsyncRAT e MintsLoader. Lumma Stealer e AsyncRAT sono ampiamente disponibili tramite accordi di malware-as-a-service, abbassando la barriera all'ingresso per gli operatori criminali. Secondo Microsoft, una singola infezione riuscita può esporre le credenziali, stabilire persistenza, enabling il lateral movement all'interno di una rete e creare percorsi verso il ransomware gestito manualmente.

Microsoft Threat Intelligence has identified a cluster of compromised websites displaying ClickFix lures and using EtherHiding, a technique associated with the ClearFake campaign. An injected Base64-encoded JavaScript contacts a BNB Smart Chain RPC gateway to query a smart… pic.twitter.com/FOivGuUxVV
— Microsoft Threat Intelligence (@MsftSecIntel) August 6, 2026

Le operazioni macOS implementano gate di fingerprinting anti-analisi

In parallelo, Microsoft ha tracciato un cluster ClickFix per macOS che è passato dal servire apertamente comandi terminali malevoli a nasconderli dietro gate di fingerprinting del browser lato server. L'operazione copre oltre 250 domini, molti dei quali seguono pattern di denominazione algoritmici come le costruzioni "filewordword".

Quando un visitatore arriva su uno di questi domini, una leggera routine di profilazione JavaScript raccoglie gli attributi del browser, i segnali GPU WebGL, gli offset del fuso orario e il contesto iframe, quindi invia questa impronta al server per la valutazione. Le richieste che non superano questi controlli, come quelle provenienti da sandbox, macchine virtuali o browser non macOS, ricevono pagine esca innocue o contenuti vuoti. I visitatori macOS autentici, al contrario, vedono una falsa pagina di download "Verified Publisher" contenente un comando terminale malevolo.

Questo sistema di distribuzione del traffico distribuisce information stealer tra cui MacSync e Atomic Stealer, progettati per raccogliere dati keychain, credenziali del browser, portafogli di criptovalute e chiavi SSH. Atomic Stealer, tracciato anche come AMOS, è emerso come una delle famiglie di malware macOS commercialmente più attive, pubblicizzata nei forum di cybercrime e ripetutamente aggiornata per colpire ulteriori estensioni di portafoglio e archivi di credenziali.

Sebbene le tecniche di fingerprinting in sé non siano nuove, la loro integrazione nell'infrastruttura ClickFix complica il rilevamento e l'analisi automatizzati servendo contenuti malevoli esclusivamente a vittime selettivamente qualificate. Le organizzazioni che si affidano alla scansione automatizzata dei contenuti web o all'analisi delle minacce basata su sandbox potrebbero non riuscire a catturare i payload malevoli distribuiti da queste campagne, sottolineando il valore della formazione di consapevolezza degli utenti finali come controllo complementare.