La campagna ClickFix, precedentemente focalizzata sull'esecuzione di comandi malevoli, ha modificato le sue tattiche per indurre gli utenti a iniettare JavaScript dannoso nei propri browser, prendendo di mira chi è disposto a commettere frodi nel settore delle criptovalute.
La campagna di frode denominata ClickFix ha dimostrato una notevole evoluzione nelle sue metodologie operative. Inizialmente volta a indurre le vittime a eseguire comandi dannosi sui propri computer, ha recentemente spostato il suo focus sull'iniezione di JavaScript malevolo direttamente nei browser degli utenti, con l'obiettivo primario di frodare gli appassionati di criptovalute. Questa strategia modificata mira a sfruttare la fiducia degli utenti che cercano opportunità di guadagno nel volatile mercato delle criptovalute.
Secondo le ricerche pubblicate da Cisco Talos, la campagna, attiva da diversi mesi, ha iniziato a utilizzare l'API di Google Visualization per recuperare codice offuscato da documenti Google Sheets pubblicamente accessibili. Questo codice veniva poi iniettato nelle sessioni degli utenti su specifici siti di trading di criptovalute. È importante notare che questa campagna ha già resistito a due tentativi di interruzione da parte delle autorità e dei ricercatori di sicurezza. Dopo essere stata segnalata ad aprile, la campagna è riemersa una settimana dopo su un nuovo foglio di calcolo, e anche dopo essere stata nuovamente segnalata ad agosto, è rimasta operativa.
Le prime fasi della campagna, iniziate nell'ottobre 2025, prevedevano l'invio di esche che istruivano i bersagli a incollare frammenti di JavaScript direttamente nella barra di navigazione del browser Chrome. Successivamente, a partire da marzo 2026, gli operatori hanno introdotto l'uso dell'API di Google Visualization e, da metà aprile, hanno iniziato a richiedere alle vittime l'installazione dell'estensione per browser Tampermonkey, prima di procedere con l'iniezione dello script dannoso.
Le esche utilizzate nella campagna si presentavano come presunti report di vulnerabilità trapelati, descrivendo falle di sicurezza inesistenti presso servizi di scambio di criptovalute e promettendo guadagni fino al 38% superiori. Cisco Talos ha osservato che l'attrattiva di queste offerte era rivolta a individui predisposti a sfruttare presunte falle, anche senza una piena comprensione tecnica.
I ricercatori hanno individuato il materiale della campagna su piattaforme come Telegram, il forum di cybercriminalità DarkForums e vari siti di condivisione di testo, con ondate di messaggi inviati almeno due volte al mese.
L'API di Google Visualization si è rivelata uno strumento efficace per gli attaccanti grazie al suo accesso gratuito e non autenticato in sola lettura ai documenti Google Sheets pubblicati sul web. Questo permetteva alle richieste malevole di originarsi dal browser della vittima, rendendole indistinguibili dal traffico web legittimo. Gli operatori nascondevano il codice dannoso (payload) formattando il testo in modo che fosse bianco su sfondo bianco all'interno delle celle del foglio di calcolo.
Cisco Talos ha analizzato 21 payload di secondo stadio recuperati dai fogli di calcolo. Questi payload, sebbene ruotassero con nuove chiavi di cifratura XOR e nomi di variabili randomizzati, mantenevano una funzionalità sostanzialmente invariata.
Gli script iniettati trasformavano di fatto il browser della vittima in uno strumento di crypto skimming. Questi script erano in grado di monitorare le modifiche alle pagine web, sostituire gli indirizzi di deposito visualizzati con quelli controllati dagli attaccanti e alterare gli importi delle transazioni per far credere all'utente che fosse stato applicato un bonus. Inoltre, sovrascrivevano l'API fetch del browser, sostituendo gli indirizzi dei wallet degli aggressori nelle risposte di deposito prima che i dati raggiungessero l'interfaccia utente.
Una funzione di clipboard hijacking era implementata per sostituire qualsiasi indirizzo di criptovaluta che la vittima copiasse negli appunti. Nella versione che utilizzava Tampermonkey, il codice malevolo veniva ricaricato a ogni visita ai siti target.
Analizzando i dati raccolti tra aprile e fine giugno, Talos ha identificato 49 indirizzi Bitcoin associati alla campagna. La maggior parte dei campioni decodificati attingeva a un set di 30 indirizzi, di cui 24 hanno ricevuto fondi per un totale di 0.159 BTC, equivalenti a circa 10.000 dollari secondo le valutazioni di inizio agosto. I ricercatori ritengono che la cifra reale possa essere significativamente più alta, poiché i proventi venivano poi instradati attraverso ulteriori 30 wallet e successivamente a oltre 3000 indirizzi, suggerendo un'operazione di mixing volta a offuscare l'origine dei fondi.
Sebbene Cisco Talos abbia sottolineato che la campagna non rappresenta una minaccia diretta per la maggior parte delle organizzazioni, le tecniche impiegate sono indicative di un'evoluzione delle minacce nel settore delle frodi online. Le raccomandazioni includono la restrizione dell'uso di estensioni per browser basate sui ruoli degli utenti e il monitoraggio delle sessioni del browser per individuare richieste sospette verso servizi Google Docs o simili.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
