ClickFix e Teams trasformano fiducia in accesso rivendibile
Gen Digital ha osservato WordlistLoader e SynkLoader in due campagne che spostano il credential theft su superfici fidate: siti legittimi compromessi e Microsoft Teams. Nel primo caso, WordlistLoader porta Amatera tramite ClickFix; nel secondo, SynkLoader ruba credenziali Windows passando per un’interazione che sembra normale all’utente.
Il meccanismo è semplice e pericoloso. La finta CAPTCHA non fa scaricare nulla: copia un comando negli appunti e induce a incollarlo nella finestra Run di Windows, così il sistema avvia il loader al posto dell’attaccante. Su Teams, la pressione è sulla fiducia nel canale: l’utente finisce a consegnare credenziali Windows su una schermata che non sembra phishing. Il risultato non è solo furto di password, ma accesso iniziale spendibile e rivendibile.
Per chi monitora endpoint e identità, il punto è che email e allegati non bastano più come linea di difesa mentale. Quando il canale è un sito compromesso o una chat aziendale, l’abuso della fiducia diventa parte della catena di accesso, e questo amplia la superficie esposta verso campagne che alimentano anche il mercato del ransomware.