Campagna ClickFix con payload che cambia per ogni vittima
Il punto debole non è ClickFix in sé. DOUBLECUP costruisce payload effimeri, legati alla vittima, così un artefatto recuperato una volta sola non basta più a identificare il resto della campagna. La difesa che si affida a un campione condiviso o a una signature statica perde presa.
Il report descrive una catena che nasconde un PNG steganografico nella cache del browser, ne recupera il contenuto e decripta il payload solo in memoria, usando anche l’IP pubblico della vittima come parte della chiave. I carichi osservati includono varianti di CountLoader per Windows e macOS e il RAT DeviceManager, con C2 basato su EtherHiding e tunneling via HTTP o DNS.
Per SOC e threat hunting, il cambio è concreto: una sola estrazione non generalizza più il comportamento della campagna. Serve cercare indicatori di esecuzione e di browser cache, non solo confrontare file recuperati.