Un nuovo attacco informatico chiamato ClickFix sta prendendo piede su larga scala, colpendo sia gli utenti di Windows che quelli di macOS e sfruttando un inganno visivo che li induce a "hackerare sé stessi". Gli aggressori manipolano infatti l'interfaccia per far sì che l'utente clicchi su pulsanti di conferma o autorizzazione senza accorgersi di concedere permessi critici o di eseguire codice malevolo. Il meccanismo è semplice e per questo particolarmente efficace: l'utente viene convinto che il sistema non riesca a completare una verifica automatica e che sia necessario incollare una stringa nel terminale per "risolvere il problema". In realtà quella stringa installa codice ostile che compromette il dispositivo.

La tecnica si basa su un inganno visivo. Le pagine coinvolte riproducono elementi familiari come CAPTCHA, schermate di verifica dell'identità o messaggi di errore del browser. L'utente, convinto di trovarsi davanti a un controllo legittimo, accetta di seguire le istruzioni, che generalmente chiedono di copiare una certa stringa e incollarla in un terminale, o nella finestra Esegui di Windows. La stringa proposta è spesso presentata come un comando innocuo, talvolta accompagnato da un testo che suggerisce urgenza o necessità di completare la procedura per accedere al contenuto richiesto. Una volta eseguito il comando, il dispositivo scarica e avvia uno script che apre la strada a ulteriori compromissioni. In diversi casi documentati, il codice installa un agente remoto che consente agli aggressori di sottrarre credenziali, intercettare sessioni, manipolare portafogli crittografici o installare ulteriori componenti malevoli. La natura del comando varia a seconda del sistema operativo: su macOS viene spesso sfruttato curl per scaricare un pacchetto, mentre su Windows si ricorre a PowerShell per eseguire script offuscati.

Un attacco del genere non ha alcuna necessità di sfruttare vulnerabilità nel sistema operativo. Il punto debole è infatti il comportamento dell'utente, che esegue volontariamente il comando. Ciò consente agli aggressori di aggirare molte difese integrate, perché l'azione è considerata legittima dal sistema. Non si tratta insomma di un exploit tradizionale, ma di una forma di ingegneria sociale che trasforma l'utente nel vettore dell'infezione. La diffusione degli attacchi sfrutta tecniche simili: avviene tramite campagne pubblicitarie ingannevoli, siti compromessi e reindirizzamenti nascosti. In alcuni casi sono stati utilizzati annunci sponsorizzati che portavano a pagine apparentemente affidabili. Gli aggressori sfruttano piattaforme ad alto traffico per massimizzare la probabilità che un utente cada nell'inganno. La tecnica è particolarmente efficace perché non richiede la compromissione del sito finale: basta convincere l'utente a eseguire il comando.

Le analisi condotte da ricercatori indipendenti mostrano che gli script installati tramite ClickFix sono spesso modulari. Una volta ottenuto l'accesso iniziale, il malware scarica componenti aggiuntivi in base al profilo del dispositivo. Alcuni moduli sono progettati per rubare credenziali dei gestori di password, altri per monitorare gli Appunti di sistema alla ricerca di indirizzi di portafogli crittografici, altri ancora per intercettare sessioni web tramite cookie. Gli attacchi sono poi difficili da rilevare perché l'esecuzione del comando avviene in modo esplicito e volontario. I sistemi di protezione basati sul comportamento non segnalano anomalie, e gli antivirus possono non rilevare immediatamente gli script scaricati, soprattutto quando sono offuscati o distribuiti tramite infrastrutture temporanee. Gli aggressori cambiano frequentemente i domini utilizzati, rendendo complessa la creazione di liste di blocco efficaci.

Ti raccomandiamo anche:

Arch Linux sotto attacco

Windows 11 identifica ogni PC con un codice unico: così è stato arrest...

Windows 11 e Secure Boot: cosa succede davvero se si ignora la scadenza di giugn...

Browser IA, l'allarme di Malwarebytes: ingannare gli assistenti e rubare dat...

Le contromisure suggerite dagli esperti si concentrano sulla prevenzione comportamentale. Nessun sito legittimo richiede di incollare comandi nel terminale per completare una verifica. Le piattaforme che utilizzano CAPTCHA o controlli anti‑bot non prevedono procedure manuali di questo tipo. Gli utenti devono essere informati che qualsiasi richiesta di eseguire comandi proveniente da una pagina web è un segnale di allarme. Intanto, le aziende che gestiscono piattaforme pubblicitarie stanno introducendo controlli più severi per impedire la pubblicazione di annunci che reindirizzano a pagine sospette. Tuttavia gli aggressori continuano a sfruttare account compromessi, rendendo difficile eliminare completamente il problema. La natura decentralizzata delle campagne di diffusione rende gli attacchi resilienti e capaci di riemergere rapidamente.

Il fenomeno ClickFix evidenzia una tendenza crescente: gli aggressori non cercano più soltanto vulnerabilità tecniche, ma puntano a manipolare il comportamento dell'utente per ottenere accesso diretto al sistema. Questo approccio riduce la necessità di sviluppare exploit complessi e aumenta la probabilità di successo. La combinazione di ingegneria sociale e comandi terminali rappresenta una minaccia che richiede nuove strategie di difesa e una maggiore consapevolezza da parte degli utenti.

Leggi anche:

Sì, si può nascondere un virus in un file audio

Allerta in Minecraft per skin infettate, ma niente panico

La sigaretta elettronica che infetta il Pc

Vuoi fare il criminale informatico? Non rubare nel tuo stesso paese