Una nuova campagna di infostealer prende di mira gli utenti macOS tramite ingegneria sociale, rubando credenziali e criptovalute attraverso script malevoli eseguiti nel Terminale.
I ricercatori di sicurezza di Huntress hanno recentemente identificato una nuova variante di malware progettata specificamente per l'ecosistema macOS. Questa minaccia, basata sul linguaggio Go, si distingue per l'utilizzo di tecniche di social engineering avanzate, note come ClickFix, per indurre gli utenti a compromettere autonomamente i propri sistemi. L'incidente, rilevato per la prima volta nel giugno 2026, evidenzia come anche le piattaforme storicamente considerate più sicure siano sempre più nel mirino di attori malevoli.
La tecnica ClickFix sfrutta la manipolazione psicologica dell'utente attraverso finestre pop-up ingannevoli. La vittima viene indotta a credere di dover risolvere un controllo di sicurezza, tipicamente un CAPTCHA, per accedere a un sito web o a un servizio. Invece di una semplice verifica, il pop-up istruisce l'utente a copiare e incollare una stringa di comando complessa all'interno dell'applicazione Terminale di macOS.
Una volta eseguito, questo comando avvia un processo in più fasi:
Una volta ottenuto l'accesso, il malware opera come un sofisticato infostealer. Il suo raggio d'azione è ampio: mira a sottrarre le credenziali salvate nei browser, i dati contenuti nel portachiavi Apple (Keychain) e le credenziali memorizzate nella cache del sistema. Particolarmente allarmante è la presenza di una funzione denominata DRAIN, progettata per analizzare i portafogli di criptovalute presenti sul dispositivo. Se vengono rilevati fondi, il malware tenta di trasferire automaticamente il saldo verso wallet controllati dagli aggressori.
Le analisi tecniche collegano l'infrastruttura di comando e controllo (C2), l'hosting del payload e il loader stesso al gruppo Aeza Group, un noto fornitore di servizi di bulletproof hosting di origine russa, già oggetto di sanzioni per il suo ruolo nel facilitare attività criminali online.
Sebbene la minaccia sia insidiosa, gli esperti sottolineano che non è impossibile da contrastare. La persistenza del malware non è garantita, il che significa che la rimozione dei file binari identificati è solitamente sufficiente per eradicare l'infezione. Tuttavia, la prevenzione rimane la difesa più efficace:
In caso di sospetta compromissione, la procedura raccomandata è l'isolamento immediato della macchina dalla rete e la segnalazione tempestiva al team IT aziendale per le procedure di bonifica.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
