Come funziona ClickFix: l'inganno in quattro passi

L'attacco segue uno schema coerente in tutte le campagne documentate :

1. L'esca: L'utente visita un sito web compromesso o malevolo e incontra un finto prompt di verifica: un falso Google reCAPTCHA, una contraffazione della pagina Cloudflare "Verify you are human", un messaggio di falso aggiornamento del browser o un finto errore di QuickBooks o Booking.com .
2. Istruzioni di copia-incolla: La pagina mostra istruzioni come: "Premi Win + R, poi premi Ctrl + V, poi premi Invio" per completare la verifica .
3. Il payload nascosto: Ciò che è stato copiato negli appunti è un comando PowerShell, mshta o curl malevolo che scarica ed esegue un loader da un server remoto .
4. Esecuzione: Il comando viene eseguito con i privilegi dell'utente. Poiché è l'utente stesso a incollarlo e lanciarlo, i sistemi di rilevamento spesso non lo identificano come un'intrusione .

Questa tecnica è anche nota come pastejacking perché sfrutta gli appunti come vettore di infezione .

Payload distribuiti nelle campagne ClickFix

Gli aggressori hanno utilizzato le esche ClickFix per distribuire un'ampia gamma di malware, spesso in catene di infezione a più stadi:

• HijackLoader: Un loader di primo stadio osservato in catene ClickFix almeno dal giugno 2025, spesso seguito dall'infostealer DeerStealer .
• CastleLoader (aka CastleBot): Un framework malware-as-a-service attivo dall'inizio del 2025. Una campagna ha utilizzato un falso sito web per la rimozione dello sfondo per distribuire CastleLoader, che ha poi installato NetSupport RAT e uno stealer .NET personalizzato che ruba credenziali del browser, portafogli di criptovalute e sessioni Telegram .
• NetSupport RAT: Uno strumento di amministrazione remota legittimo riconvertito dagli aggressori per l'accesso persistente .
• StealC: Un trojan info-stealer che ruba credenziali del browser e portafogli di criptovalute .
• Amatera: Un infostealer distribuito tramite una campagna ClickFix che combinava falsi CAPTCHA con script Microsoft App-V firmati .
• Stealer in Rust: Documentato in campagne ClickFix polimorfiche iniziate alla fine del 2025 .
• DeerStealer: Osservato come payload eseguibile finale dopo HijackLoader .
• ResiLoader: Un loader recentemente documentato, progettato specificamente per terminare oltre 140 processi antivirus e di sicurezza sul computer della vittima, disabilitando di fatto le difese prima dell'esecuzione del payload finale .

Metodi di distribuzione

Gli aggressori sfruttano un'ampia gamma di infrastrutture per ospitare e veicolare gli attacchi ClickFix:

• Archiviazione Cloudflare R2: Utilizzata per ospitare i binari malevoli .
• Sottodomini Cloudflare Pages: Abusati per servire pagine CAPTCHA false con il certificato fidato di Cloudflare .
• Hosting Dedik Services Limited: Osservato come provider per l'infrastruttura di comando e controllo di ClickFix .
• Domini scaduti: Domini scaduti registrati o ri-registrati per il credential-harvesting e la distribuzione di payload .
• Siti web compromessi: Il vettore iniziale più comune. Gli aggressori iniettano JavaScript malevolo o iframe in siti legittimi (spesso tramite vulnerabilità di plugin o exploit CMS) che reindirizzano i visitatori a pagine ClickFix .
• Avvelenamento SEO e malvertising: Siti di installer falsi e portali di software piratato promossi tramite risultati di motori di ricerca .
• Sfruttamento di vulnerabilità Ghost CMS: Nel maggio 2026, gli aggressori hanno abusato di una vulnerabilità critica di SQL injection in Ghost CMS (CVE‑2026‑26980) per dirottare oltre 700 siti web legittimi di istruzione e tecnologia e iniettare prompt ClickFix .

Perché ClickFix domina la scena delle minacce

• Il Digital Defense Report 2025 di Microsoft ha identificato ClickFix come il metodo di accesso iniziale numero 1, responsabile del 47% di tutti gli attacchi osservati da Microsoft Defender Experts nell'anno precedente, superando il phishing tradizionale (35%) .
• La telemetria ESET ha registrato un'impennata del 517% degli attacchi ClickFix solo nel primo semestre del 2025 .
• In una campagna documentata da Menlo Labs, ClickFix ha veicolato payload cross-platform: comandi PowerShell per Windows, script .command per macOS e script Bash per Linux da un unico lure JavaScript polimorfico .
• Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) ha emesso un alert di settore su ClickFix nel luglio 2026, confermando la portata della tecnica nelle infrastrutture critiche .
• L'Insikt Group di Recorded Future ha valutato nel marzo 2026 che ClickFix rimarrà probabilmente il vettore di accesso iniziale dominante per tutto il 2026 .

Misure difensive: cosa raccomandano i ricercatori

Poiché ClickFix sfrutta il comportamento umano piuttosto che una vulnerabilità software, la difesa si basa fortemente su controlli tecnici e consapevolezza dell'utente :

• Limitare l'esecuzione di PowerShell: Bloccare gli utenti non amministrativi dall'eseguire script PowerShell. Impostare i criteri di esecuzione su Restricted tramite Criteri di gruppo e registrare tutti gli eventi di esecuzione di PowerShell .
• Disabilitare la finestra Esegui di Windows: Una modifica del registro (NoRun policy) può impedire l'uso di Win+R per incollare ed eseguire comandi .
• Considerare le istruzioni non richieste per eseguire comandi come bandiere rosse: Nessun sito web o servizio legittimo chiede a un utente di premere Win+R, incollare un comando e premere Invio. Questo dovrebbe essere il primo elemento nella formazione sulla sicurezza .
• Bloccare mshta, cscript e curl dall'esecuzione in contesto utente: Utilizzare AppLocker o Windows Defender Application Control per limitare gli interpreti di script .
• Implementare regole di rilevamento endpoint: Monitorare processi padre insoliti come powershell.exe -ep bypass, la lineage dei processi da explorer.exe a interpreti di script e gli artefatti del registro RunMRU .
• Utilizzare funzionalità di sicurezza degli appunti: Le protezioni degli appunti a livello di browser possono prevenire il meccanismo di copia-incolla su cui si basa ClickFix.

La funzione Paste Protect di Opera

Opera ha introdotto una funzione nativa Paste Protect (disponibile in Opera 100+ su Windows, macOS e Linux) che intercetta e blocca gli attacchi pastejacking basati sugli appunti. Quando un sito web tenta di scrivere programmaticamente un payload sospetto negli appunti e poi invita l'utente a incollarlo, Paste Protect avvisa l'utente e blocca il completamento dell'operazione. Ciò mitiga direttamente la tecnica ClickFix principale senza richiedere l'installazione di alcuna estensione.

Come funziona ClickFix: l'inganno in quattro passi

L'attacco segue uno schema coerente in tutte le campagne documentate :

1. L'esca: L'utente visita un sito web compromesso o malevolo e incontra un finto prompt di verifica: un falso Google reCAPTCHA, una contraffazione della pagina Cloudflare "Verify you are human", un messaggio di falso aggiornamento del browser o un finto errore di QuickBooks o Booking.com .
2. Istruzioni di copia-incolla: La pagina mostra istruzioni come: "Premi Win + R, poi premi Ctrl + V, poi premi Invio" per completare la verifica .
3. Il payload nascosto: Ciò che è stato copiato negli appunti è un comando PowerShell, mshta o curl malevolo che scarica ed esegue un loader da un server remoto .
4. Esecuzione: Il comando viene eseguito con i privilegi dell'utente. Poiché è l'utente stesso a incollarlo e lanciarlo, i sistemi di rilevamento spesso non lo identificano come un'intrusione .

Questa tecnica è anche nota come pastejacking perché sfrutta gli appunti come vettore di infezione .

Payload distribuiti nelle campagne ClickFix

Gli aggressori hanno utilizzato le esche ClickFix per distribuire un'ampia gamma di malware, spesso in catene di infezione a più stadi:

• HijackLoader: Un loader di primo stadio osservato in catene ClickFix almeno dal giugno 2025, spesso seguito dall'infostealer DeerStealer .
• CastleLoader (aka CastleBot): Un framework malware-as-a-service attivo dall'inizio del 2025. Una campagna ha utilizzato un falso sito web per la rimozione dello sfondo per distribuire CastleLoader, che ha poi installato NetSupport RAT e uno stealer .NET personalizzato che ruba credenziali del browser, portafogli di criptovalute e sessioni Telegram .
• NetSupport RAT: Uno strumento di amministrazione remota legittimo riconvertito dagli aggressori per l'accesso persistente .
• StealC: Un trojan info-stealer che ruba credenziali del browser e portafogli di criptovalute .
• Amatera: Un infostealer distribuito tramite una campagna ClickFix che combinava falsi CAPTCHA con script Microsoft App-V firmati .
• Stealer in Rust: Documentato in campagne ClickFix polimorfiche iniziate alla fine del 2025 .
• DeerStealer: Osservato come payload eseguibile finale dopo HijackLoader .
• ResiLoader: Un loader recentemente documentato, progettato specificamente per terminare oltre 140 processi antivirus e di sicurezza sul computer della vittima, disabilitando di fatto le difese prima dell'esecuzione del payload finale .

Metodi di distribuzione

Gli aggressori sfruttano un'ampia gamma di infrastrutture per ospitare e veicolare gli attacchi ClickFix:

• Archiviazione Cloudflare R2: Utilizzata per ospitare i binari malevoli .
• Sottodomini Cloudflare Pages: Abusati per servire pagine CAPTCHA false con il certificato fidato di Cloudflare .
• Hosting Dedik Services Limited: Osservato come provider per l'infrastruttura di comando e controllo di ClickFix .
• Domini scaduti: Domini scaduti registrati o ri-registrati per il credential-harvesting e la distribuzione di payload .
• Siti web compromessi: Il vettore iniziale più comune. Gli aggressori iniettano JavaScript malevolo o iframe in siti legittimi (spesso tramite vulnerabilità di plugin o exploit CMS) che reindirizzano i visitatori a pagine ClickFix .
• Avvelenamento SEO e malvertising: Siti di installer falsi e portali di software piratato promossi tramite risultati di motori di ricerca .
• Sfruttamento di vulnerabilità Ghost CMS: Nel maggio 2026, gli aggressori hanno abusato di una vulnerabilità critica di SQL injection in Ghost CMS (CVE‑2026‑26980) per dirottare oltre 700 siti web legittimi di istruzione e tecnologia e iniettare prompt ClickFix .

Perché ClickFix domina la scena delle minacce

• Il Digital Defense Report 2025 di Microsoft ha identificato ClickFix come il metodo di accesso iniziale numero 1, responsabile del 47% di tutti gli attacchi osservati da Microsoft Defender Experts nell'anno precedente, superando il phishing tradizionale (35%) .
• La telemetria ESET ha registrato un'impennata del 517% degli attacchi ClickFix solo nel primo semestre del 2025 .
• In una campagna documentata da Menlo Labs, ClickFix ha veicolato payload cross-platform: comandi PowerShell per Windows, script .command per macOS e script Bash per Linux da un unico lure JavaScript polimorfico .
• Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) ha emesso un alert di settore su ClickFix nel luglio 2026, confermando la portata della tecnica nelle infrastrutture critiche .
• L'Insikt Group di Recorded Future ha valutato nel marzo 2026 che ClickFix rimarrà probabilmente il vettore di accesso iniziale dominante per tutto il 2026 .

Misure difensive: cosa raccomandano i ricercatori

Poiché ClickFix sfrutta il comportamento umano piuttosto che una vulnerabilità software, la difesa si basa fortemente su controlli tecnici e consapevolezza dell'utente :

• Limitare l'esecuzione di PowerShell: Bloccare gli utenti non amministrativi dall'eseguire script PowerShell. Impostare i criteri di esecuzione su Restricted tramite Criteri di gruppo e registrare tutti gli eventi di esecuzione di PowerShell .
• Disabilitare la finestra Esegui di Windows: Una modifica del registro (NoRun policy) può impedire l'uso di Win+R per incollare ed eseguire comandi .
• Considerare le istruzioni non richieste per eseguire comandi come bandiere rosse: Nessun sito web o servizio legittimo chiede a un utente di premere Win+R, incollare un comando e premere Invio. Questo dovrebbe essere il primo elemento nella formazione sulla sicurezza .
• Bloccare mshta, cscript e curl dall'esecuzione in contesto utente: Utilizzare AppLocker o Windows Defender Application Control per limitare gli interpreti di script .
• Implementare regole di rilevamento endpoint: Monitorare processi padre insoliti come powershell.exe -ep bypass, la lineage dei processi da explorer.exe a interpreti di script e gli artefatti del registro RunMRU .
• Utilizzare funzionalità di sicurezza degli appunti: Le protezioni degli appunti a livello di browser possono prevenire il meccanismo di copia-incolla su cui si basa ClickFix.

La funzione Paste Protect di Opera

Opera ha introdotto una funzione nativa Paste Protect (disponibile in Opera 100+ su Windows, macOS e Linux) che intercetta e blocca gli attacchi pastejacking basati sugli appunti. Quando un sito web tenta di scrivere programmaticamente un payload sospetto negli appunti e poi invita l'utente a incollarlo, Paste Protect avvisa l'utente e blocca il completamento dell'operazione. Ciò mitiga direttamente la tecnica ClickFix principale senza richiedere l'installazione di alcuna estensione.