ClickFix su macOS: un comando incollato svuota il portafoglio crypto a pezzi
Una campagna ClickFix contro macOS analizzata da Huntress si conclude con la vittima che incolla da sola un unico comando nel Terminale e consegna il portachiavi, le password del browser e, potenzialmente, una fetta della propria criptovaluta. I ricercatori hanno pubblicato l'analisi il 6 agosto 2026, dopo che una caccia retrospettiva alle minacce condotta a giugno aveva fatto emergere uno stealer scritto in Go, presente da marzo su un Mac monitorato: circa novanta giorni senza che nessuno se ne accorgesse.
Come funziona l'attacco ClickFix su macOS
L'esca segue lo schema ClickFix ormai familiare: una email con un link, una pagina che mostra un finto CAPTCHA o un errore inventato e l'istruzione di "verificarsi" eseguendo un comando nel Terminale. Lungo la via d'ingresso non viene sfruttata alcuna vulnerabilità. L'exploit è l'utente, e il comando incollato fa il resto.
Quel comando scaricava uno script Bash da un indirizzo controllato dagli aggressori, lo eseguiva, lo cancellava e poi ripuliva la finestra del Terminale e la cronologia dei comandi per non lasciare tracce evidenti. Lo script fungeva da profilatore e loader: interrogava l'hardware con strumenti che qualunque amministratore Mac riconoscerebbe, verificava l'architettura del processore e scaricava uno dei due payload Mach-O compilati in Go, uno per Apple Silicon e uno per Intel.
Che cosa porta via lo stealer
Una volta in esecuzione, il payload setacciava il disco alla ricerca dei file che contengono credenziali. Secondo Huntress il bottino comprende i database delle password dei browser, le credenziali memorizzate nei cookie e i dati del portachiavi Apple, che su un Mac tipico è l'obiettivo più ricco dell'intera macchina. Tutto il raccolto veniva inviato a un indirizzo esterno.
Per raggiungere le parti di sistema che un normale processo utente non può toccare, il malware usava osascript per far comparire quella che sembra una comune richiesta di password di macOS, presentata come un ripristino di file di sistema danneggiati. È una finestra che il sistema operativo stesso avrebbe potuto mostrare, e digitarci dentro la password è esattamente ciò che completa la compromissione.
La funzione DRAIN e perché il furto parziale è una novità
La parte che rende questo campione particolare è una routine che gli autori hanno chiamato DRAIN. Cerca portafogli di Bitcoin, Litecoin, Dogecoin, Monero, Ethereum e XRP e porta con sé un elenco di indirizzi controllati dagli aggressori scritto direttamente nel codice.
I drainer di criptovalute di solito svuotano un portafoglio in un colpo solo, perché l'operatore presume di avere un unico tentativo prima che la vittima se ne accorga. Questo dispone di una variabile DRAIN_PCT e di una logica per ciascuna valuta che calcola quanto vale una data percentuale del saldo, così da prelevare una quota anziché tutto. Huntress afferma che è il primo drainer analizzato in grado di lasciare deliberatamente il resto alla vittima. Un portafoglio a cui manca in silenzio l'uno per cento sembra una commissione, un errore di arrotondamento o un ricordo sbagliato, e un furto che nessuno denuncia è un furto ripetibile.
Persistenza e infrastruttura
Il malware restava attivo nascondendosi in un percorso che imita i componenti di aggiornamento software di Apple all'interno della cartella Library dell'utente e registrandosi nel sottosistema Background Task Management tramite launchctl. È una posizione che quasi nessuno ispeziona e un nome che quasi nessuno mette in discussione.
L'host del loader, il server del payload e l'endpoint di comando e controllo riconducevano tutti a infrastruttura di Aeza Group, un provider russo di hosting a prova di proiettile. Aeza è stata sanzionata dagli Stati Uniti a luglio 2025 e da Regno Unito e Australia a novembre 2025 per il suo ruolo nell'ospitare ransomware, infostealer e altre operazioni criminali. Nonostante quelle sanzioni, la stessa infrastruttura serviva ancora questa campagna.
Come proteggersi
- Trattate le istruzioni sul Terminale come ostili: rifiutarsi di incollare comandi che non avete scritto e non capite è l'unica abitudine che ferma l'intera categoria di attacchi.
- Diffidate delle richieste di password inattese: una finestra che dal nulla chiede la password del Mac per "riparare file di sistema" è un campanello d'allarme, e annullare non costa niente.
- Tenete le criptovalute importanti fuori dal computer di tutti i giorni: un portafoglio hardware tiene le chiavi di firma lontane da qualsiasi software riesca a girare sul vostro Mac.
- Riconciliate i saldi, non solo i titoli: il prelievo parziale è progettato per nascondersi nel rumore, quindi piccole uscite inspiegabili meritano la stessa attenzione di un portafoglio svuotato.
- Filtrate a livello DNS: la pagina esca deve prima caricarsi, e bloccarla costa meno che ripulire dopo.
Gli appunti e il browser sono diventati in silenzio la parte più fragile della filiera crypto, e non è un caso isolato: di recente uno script pubblicitario compromesso è stato colto a riscrivere indirizzi di portafoglio su migliaia di siti legittimi, e le credenziali raccolte da stealer come questo finiscono negli stessi archivi aggregati da cui è nato il caso dei 24 miliardi di password esposte in un singolo database aperto. Poiché il primo anello della catena è sempre una pagina che deve caricarsi, il filtraggio a livello di rete conta più di prima, ed è per questo che molti strumenti per la privacy oggi includono blocklist DNS che fermano l'esca prima che l'utente veda il finto CAPTCHA.
