I crawler vedono meno della metà del clickfix su macOS
La rottura non è solo nella campagna in sé. È nel fatto che la pagina malevola smette di mostrarsi a tutti e lascia parlare solo i visitatori che sembrano un vero browser macOS. Così la difesa che si basa su contenuto, scanner e sandbox vede una versione più pulita del sito, non il richiamo che porta allo stealer.
Microsoft descrive un cluster di domini look-alike che distribuisce MacSync e Atomic Stealer (AMOS) e che ha cambiato comportamento sulla stessa infrastruttura: prima serviva apertamente il lure nell'HTML, poi lo ha nascosto dietro un gate server-side di browser fingerprinting. Questo riduce la visibilità per i controlli automatici e sposta gli indizi utili verso il pattern dei domini e il comportamento del server.
Per chi caccia campagne ClickFix e malware per macOS, il segnale da seguire non è più solo ciò che la pagina mostra, ma chi la pagina decide di mostrare. La fiducia operativa si sposta dal testo del lure all'infrastruttura che lo filtra.