Il nuovo volto delle minacce informatiche: ClickFix, malware con IA e l’ascesa degli EDR killer

ClickFix: L'ingegneria sociale che è cresciuta del 517%

ClickFix è una tecnica di ingegneria sociale che inganna l'utente spingendolo a copiare e incollare comandi maligni (in PowerShell, nel dialogo Esegui di Windows o in un terminale), facendogli credere di dover risolvere un finto errore, un CAPTCHA o un problema di ripristino del browser ^WW. Secondo il report H1 2025 di ESET, ClickFix ha registrato un'impennata del 517% in sei mesi, diventando il secondo vettore d'attacco più comune dopo il phishing, con quasi l'8% di tutti gli attacchi bloccati ^WE.

Le Nuove Varianti: CrashFix, ConsentFix e AI-Fix

CrashFix — Identificata da Microsoft Defender a gennaio 2026, questa variante provoca deliberatamente il crash del browser della vittima, per poi indurla a eseguire comandi maligni con la scusa di "ripristinare" la funzionalità ^M.

ConsentFix — Una variante nativa del browser che abusa dei flussi di autorizzazione OAuth per compromettere account Microsoft senza malware, furto di credenziali o senza nemmeno richiedere all'utente di incollare un comando ^R. La società di sicurezza revel8 ha osservato sette varianti attive di ClickFix nel Q1 2026, tra cui ConsentFix e una variante "AI-fix" che prende di mira i flussi di onboarding degli strumenti IA ^R.

Un'analisi di circa 3.000 payload ClickFix live da parte di Threadlinqs Intelligence ha rivelato che i server backend generano dinamicamente comandi PowerShell appena offuscati utilizzando Base64, AES, TripleDES, Rijndael e compressione Deflate ^I.

Oltre 3.000 Skill IA Dannose e il Malware PromptSpy

Skill IA dannose (Agentic Skills / AI Skills) — Secondo un rapporto di El País (8 luglio 2026) che cita i dati più recenti di ESET, l'azienda ha lanciato l'allarme: in soli due mesi, il numero di "AI Skills" unici (plugin per agenti IA) analizzati è passato da circa 60.000 a quasi 900.000. Di questi, le skill IA sospette o dannose hanno superato le 3.000 ^C. Ciò rappresenta una crescita esplosiva degli strumenti d'attacco basati su agenti AI.

PromptSpy — ESET Research ha scoperto PromptSpy, il primo malware Android noto a utilizzare l'IA generativa durante il suo flusso di esecuzione ^EW. Il malware interroga il modello Gemini di Google per interpretare gli elementi sullo schermo del dispositivo compromesso e determinare dinamicamente dove toccare — risolvendo il problema dei layout di schermo imprevedibili su migliaia di modelli di telefono e lingue diverse ^SW. La sua capacità principale è quella di distribuire un modulo VNC per il controllo remoto ^TE. I ricercatori hanno notato che potrebbe essere un proof-of-concept, ma segnala un importante cambiamento verso il malware mobile assistito dall'IA ^AC.

Crescita del Ransomware, Proliferazione di EDR-Killer e il Crollo Storico dei Pagamenti

Il volume degli attacchi ransomware è ancora in aumento. Comparitech ha registrato 4.217 attacchi ransomware a livello globale nel H1 2026, un aumento dell'11% rispetto al H2 2025 (3.809), con una media di 23 attacchi al giorno ^C. ESET ha proiettato un aumento del 40% su base annua del numero di vittime di ransomware basandosi sui dati del 2025 provenienti dai leak site ^E.

Oltre 100 tool EDR-killer. Il Threat Report H2 2025 di ESET nota che gli EDR-killer continuano a proliferare, con Akira, Qilin e Warlock tra i principali utilizzatori ^W. L'analisi approfondita di ESET sulla gang ransomware Gentlemen ha documentato l'uso sia di EDR killer personalizzati che di terze parti o trapelati, tra cui HexKiller ^D. Il report ESET MDR Q1 2026 conferma che gli EDR killer sono ormai un componente standard delle operazioni ransomware ^E. Molteplici fonti confermano che l'ecosistema di strumenti EDR-killer distinti ha superato i 100, utilizzando tecniche BYOVD (Bring Your Own Vulnerable Driver) ^GS.

I tassi di pagamento dei riscatti crollano ai minimi storici. Coveware ha riportato che il tasso di pagamento dei riscatti nel Q4 2025 è crollato al 23% (un minimo storico), scendendo ulteriormente al 20% nel Q4 2025 — il che significa che meno di 1 vittima su 5 ha pagato ^GSS. Chainalysis ha stimato i pagamenti totali on-chain per ransomware a circa 820 milioni di dollari nel 2025, il dato annuale più basso dal 2021 e un calo dell'8% rispetto al 2024 ^S. Nonostante meno vittime paghino, l'importo medio del riscatto pagato è aumentato vertiginosamente (+132% trimestre su trimestre, arrivando a 325.000 dollari), suggerendo che gli attaccanti si stanno concentrando su obiettivi di maggior valore ^S.