I crawler vedono meno della metà del clickfix su macOS
La rottura non è solo nella campagna in sé. È nel fatto che la pagina malevola smette di mostrarsi a tutti e lascia parlare solo i visitatori che sembrano un vero browser macOS. Così la difesa che si basa su contenuto, scanner e sandbox vede una versione più pulita del sito, non il richiamo che porta allo stealer.
Microsoft descrive un cluster di domini look-alike che distribuisce MacSync e Atomic Stealer (AMOS) e che ha cambiato comportamento sulla stessa infrastruttura: prima serviva apertamente il lure nell'HTML, poi lo ha nascosto dietro un gate server-side di browser fingerprinting. Questo riduce la visibilità per i controlli automatici e sposta gli indizi utili verso il pattern dei domini e il comportamento del server.
Per chi caccia campagne ClickFix e malware per macOS, il segnale da seguire non è più solo ciò che la pagina mostra, ma chi la pagina decide di mostrare. La fiducia operativa si sposta dal testo del lure all'infrastruttura che lo filtra.
Mac Malware Drains Crypto Wallets Via Fake CAPTCHA Scam | Huntress
A ClickFix scam tricked a Mac user into running a Terminal command that installed Go-based malware able to steal Keychain passwords and drain crypto wallets.