ClickFix sposta l’esecuzione dentro il gesto dell’utente
ClickFix funziona perché capovolge il controllo: non serve più un file malevolo che venga aperto, basta convincere la vittima a incollare ed eseguire il comando in un dialogo fidato. Così il sistema vede un’azione apparentemente legittima, e molte difese basate su file, exploit chain o classificazione del traffico perdono il momento in cui nasce l’esecuzione.
ReliaQuest dice che tra il 1° marzo e il 31 maggio 2026 la tecnica ha dominato la distribuzione di malware, su Windows e macOS. Nel periodo sono stati osservati payload come Deepload e, per la prima volta, AMOS su macOS; su Apple gli attaccanti hanno spostato il flusso su Script Editor dopo l’avviso introdotto in Terminal per i comandi incollati.
Per chi difende endpoint e identità locali, il punto non è più solo bloccare un file malevolo: è mettere in crisi l’abitudine stessa di fidarsi di un prompt o di un editor che sembra parte normale del lavoro. Su macOS, Script Editor entra ora nello stesso percorso di rischio di Run e Terminal su Windows.