ClickFix: come funziona la tecnica di social engineering che ha superato il phishing

ClickFix non è una vulnerabilità di Windows né un difetto di una specifica applicazione. È una tecnica di social engineering che sfrutta interamente le azioni dell'utente e, nel 2025-2026, è diventata il metodo più comune per ottenere l'accesso iniziale ai sistemi ^FEM. Gruppi di cybercriminali e attori sponsorizzati da Stati la utilizzano su larga scala, con pagine di verifica contraffatte di Google reCAPTCHA e Cloudflare per indurre le vittime a eseguire comandi malevoli sul proprio computer ^FSP.

Come funziona ClickFix: l'inganno in quattro passi

L'attacco segue uno schema coerente in tutte le campagne documentate ^EFS:

1. L'esca: L'utente visita un sito web compromesso o malevolo e incontra un finto prompt di verifica: un falso Google reCAPTCHA, una contraffazione della pagina Cloudflare "Verify you are human", un messaggio di falso aggiornamento del browser o un finto errore di QuickBooks o Booking.com ^EFE.
2. Istruzioni di copia-incolla: La pagina mostra istruzioni come: "Premi Win + R, poi premi Ctrl + V, poi premi Invio" per completare la verifica ^ER.
3. Il payload nascosto: Ciò che è stato copiato negli appunti è un comando PowerShell, mshta o curl malevolo che scarica ed esegue un loader da un server remoto ^HES.
4. Esecuzione: Il comando viene eseguito con i privilegi dell'utente. Poiché è l'utente stesso a incollarlo e lanciarlo, i sistemi di rilevamento spesso non lo identificano come un'intrusione ^P.

Questa tecnica è anche nota come pastejacking perché sfrutta gli appunti come vettore di infezione ^RN.

Payload distribuiti nelle campagne ClickFix

Gli aggressori hanno utilizzato le esche ClickFix per distribuire un'ampia gamma di malware, spesso in catene di infezione a più stadi:

• HijackLoader: Un loader di primo stadio osservato in catene ClickFix almeno dal giugno 2025, spesso seguito dall'infostealer DeerStealer ^SM.
• CastleLoader (aka CastleBot): Un framework malware-as-a-service attivo dall'inizio del 2025. Una campagna ha utilizzato un falso sito web per la rimozione dello sfondo per distribuire CastleLoader, che ha poi installato NetSupport RAT e uno stealer .NET personalizzato che ruba credenziali del browser, portafogli di criptovalute e sessioni Telegram ^FMH.
• NetSupport RAT: Uno strumento di amministrazione remota legittimo riconvertito dagli aggressori per l'accesso persistente ^FES.
• StealC: Un trojan info-stealer che ruba credenziali del browser e portafogli di criptovalute ^CC.
• Amatera: Un infostealer distribuito tramite una campagna ClickFix che combinava falsi CAPTCHA con script Microsoft App-V firmati ^T.
• Stealer in Rust: Documentato in campagne ClickFix polimorfiche iniziate alla fine del 2025 ^F.
• DeerStealer: Osservato come payload eseguibile finale dopo HijackLoader ^S.
• ResiLoader: Un loader recentemente documentato, progettato specificamente per terminare oltre 140 processi antivirus e di sicurezza sul computer della vittima, disabilitando di fatto le difese prima dell'esecuzione del payload finale ^HP.

Metodi di distribuzione

Gli aggressori sfruttano un'ampia gamma di infrastrutture per ospitare e veicolare gli attacchi ClickFix:

• Archiviazione Cloudflare R2: Utilizzata per ospitare i binari malevoli ^H.
• Sottodomini Cloudflare Pages: Abusati per servire pagine CAPTCHA false con il certificato fidato di Cloudflare ^H.
• Hosting Dedik Services Limited: Osservato come provider per l'infrastruttura di comando e controllo di ClickFix ^H.
• Domini scaduti: Domini scaduti registrati o ri-registrati per il credential-harvesting e la distribuzione di payload ^H.
• Siti web compromessi: Il vettore iniziale più comune. Gli aggressori iniettano JavaScript malevolo o iframe in siti legittimi (spesso tramite vulnerabilità di plugin o exploit CMS) che reindirizzano i visitatori a pagine ClickFix ^FEM.
• Avvelenamento SEO e malvertising: Siti di installer falsi e portali di software piratato promossi tramite risultati di motori di ricerca ^MS.
• Sfruttamento di vulnerabilità Ghost CMS: Nel maggio 2026, gli aggressori hanno abusato di una vulnerabilità critica di SQL injection in Ghost CMS (CVE‑2026‑26980) per dirottare oltre 700 siti web legittimi di istruzione e tecnologia e iniettare prompt ClickFix ^M.

Perché ClickFix domina la scena delle minacce

• Il Digital Defense Report 2025 di Microsoft ha identificato ClickFix come il metodo di accesso iniziale numero 1, responsabile del 47% di tutti gli attacchi osservati da Microsoft Defender Experts nell'anno precedente, superando il phishing tradizionale (35%) ^FCMB.
• La telemetria ESET ha registrato un'impennata del 517% degli attacchi ClickFix solo nel primo semestre del 2025 ^FCO.
• In una campagna documentata da Menlo Labs, ClickFix ha veicolato payload cross-platform: comandi PowerShell per Windows, script .command per macOS e script Bash per Linux da un unico lure JavaScript polimorfico ^F.
• Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) ha emesso un alert di settore su ClickFix nel luglio 2026, confermando la portata della tecnica nelle infrastrutture critiche ^H.
• L'Insikt Group di Recorded Future ha valutato nel marzo 2026 che ClickFix rimarrà probabilmente il vettore di accesso iniziale dominante per tutto il 2026 ^B.

Misure difensive: cosa raccomandano i ricercatori

Poiché ClickFix sfrutta il comportamento umano piuttosto che una vulnerabilità software, la difesa si basa fortemente su controlli tecnici e consapevolezza dell'utente ^HEM:

• Limitare l'esecuzione di PowerShell: Bloccare gli utenti non amministrativi dall'eseguire script PowerShell. Impostare i criteri di esecuzione su Restricted tramite Criteri di gruppo e registrare tutti gli eventi di esecuzione di PowerShell ^HE.
• Disabilitare la finestra Esegui di Windows: Una modifica del registro (NoRun policy) può impedire l'uso di Win+R per incollare ed eseguire comandi ^EH.
• Considerare le istruzioni non richieste per eseguire comandi come bandiere rosse: Nessun sito web o servizio legittimo chiede a un utente di premere Win+R, incollare un comando e premere Invio. Questo dovrebbe essere il primo elemento nella formazione sulla sicurezza ^HFM.
• Bloccare mshta, cscript e curl dall'esecuzione in contesto utente: Utilizzare AppLocker o Windows Defender Application Control per limitare gli interpreti di script ^HE.
• Implementare regole di rilevamento endpoint: Monitorare processi padre insoliti come powershell.exe -ep bypass, la lineage dei processi da explorer.exe a interpreti di script e gli artefatti del registro RunMRU ^FU.
• Utilizzare funzionalità di sicurezza degli appunti: Le protezioni degli appunti a livello di browser possono prevenire il meccanismo di copia-incolla su cui si basa ClickFix.

La funzione Paste Protect di Opera

Opera ha introdotto una funzione nativa Paste Protect (disponibile in Opera 100+ su Windows, macOS e Linux) che intercetta e blocca gli attacchi pastejacking basati sugli appunti. Quando un sito web tenta di scrivere programmaticamente un payload sospetto negli appunti e poi invita l'utente a incollarlo, Paste Protect avvisa l'utente e blocca il completamento dell'operazione. Ciò mitiga direttamente la tecnica ClickFix principale senza richiedere l'installazione di alcuna estensione.