Minacce · 53 giorni fa
La rottura non è solo nella campagna in sé. È nel fatto che la pagina malevola smette di mostrarsi a tutti e lascia parlare solo i visitatori che sembrano un vero browser macOS. Così la difesa che si basa su contenuto, scanner e sandbox vede una versione più pulita del sito, non il richiamo che porta allo stealer.
Microsoft descrive un cluster di domini look-alike che distribuisce MacSync e Atomic Stealer (AMOS) e che ha cambiato comportamento sulla stessa infrastruttura: prima serviva apertamente il lure nell'HTML, poi lo ha nascosto dietro un gate server-side di browser fingerprinting. Questo riduce la visibilità per i controlli automatici e sposta gli indizi utili verso il pattern dei domini e il comportamento del server.
Per chi caccia campagne ClickFix e malware per macOS, il segnale da seguire non è più solo ciò che la pagina mostra, ma chi la pagina decide di mostrare. La fiducia operativa si sposta dal testo del lure all'infrastruttura che lo filtra.
3 fonti che coprono questa storia
Mac Malware Drains Crypto Wallets Via Fake CAPTCHA Scam | Huntress
A ClickFix scam tricked a Mac user into running a Terminal command that installed Go-based malware able to steal Keychain passwords and drain crypto wallets.
Over 250 ClickFix Domains Use Browser Fingerprinting to Hide macOS Malware Lures
A macOS ClickFix campaign uses more than 250 domains and server-side fingerprinting to hide AMOS lures from crawlers and serve selected Mac users.
A macOS ClickFix campaign shifted tactics from openly serving infostealer lures to hiding them behind a browser-fingerprinting gate.
Part of the PlainSec briefing for 2026-08-06