Un attacco mirato tramite email induce utenti macOS a installare un malware Go che sottrae criptovalute, password dei browser e dati Apple Keychain, modificando le transazioni per deviare fondi agli aggressori
Un nuovo attacco informatico denominato ClickFix sta colpendo utenti macOS attraverso una sofisticata campagna di phishing che sfrutta un malware sviluppato in Go. Il software malevolo, individuato dai ricercatori di Huntress, è in grado di sottrarre criptovalute, password salvate nei browser, dati dell’Apple Keychain e credenziali memorizzate nella cache, con l’obiettivo di intercettare e deviare transazioni digitali a favore degli attaccanti.
L’attacco inizia con una email che invita la vittima a visitare una pagina web e a eseguire un comando nel Terminale di macOS. Questo comando scarica uno script Bash che raccoglie informazioni sul sistema, come CPU e RAM, e scarica un payload Mach-O compatibile con l’architettura del dispositivo. Lo script identifica anche il nome dell’account utente attivo e crea una cartella denominata come il processo trustd, utilizzato da macOS per la validazione dei certificati. All’interno di questa cartella viene copiato il malware, camuffato come file di sistema, e viene rimossa l’attributo di quarantena per eludere i controlli di Gatekeeper.
Come agisce il malware e quali dati vengono sottratti
Il payload infostealer analizza il sistema alla ricerca di file che contengono credenziali, identificandoli sia per nome che per estensione. Tra gli obiettivi principali figurano i database delle password dei browser, l’Apple Keychain e le credenziali memorizzate nei cookie. Il malware stabilisce la persistenza sul sistema e tenta di ottenere privilegi elevati, inducendo l’utente a fornire le proprie credenziali tramite un falso messaggio di errore generato con osascript.
Una delle caratteristiche più insidiose di questo malware è la capacità di modificare le transazioni di criptovalute prima che vengano firmate, consentendo agli attaccanti di deviare solo una percentuale dei fondi invece di svuotare completamente il wallet. I ricercatori di Huntress hanno osservato funzioni specifiche che calcolano, ad esempio, l’1% del valore del portafoglio, a seconda della criptovaluta coinvolta.
Criptovalute e infrastruttura colpite
Le criptovalute prese di mira includono Bitcoin, Litecoin, Dogecoin, Monero, Ethereum e XRP di Ripple. Il malware comunica con indirizzi IP associati all’Autonomous System 210644, gestito dalla società russa Aeza Group, già sanzionata da Stati Uniti e Regno Unito per aver fornito servizi di hosting a gruppi ransomware. Questa infrastruttura rende più difficile il tracciamento e la neutralizzazione delle attività malevole.
Implicazioni per utenti e aziende italiane
Gli utenti macOS in Italia devono prestare particolare attenzione a email sospette che invitano all’esecuzione di comandi nel Terminale, pratica insolita per la maggior parte delle operazioni legittime. Le aziende che gestiscono asset in criptovalute o dati sensibili su dispositivi Apple dovrebbero rafforzare le procedure di sicurezza, aggiornare regolarmente i sistemi e sensibilizzare il personale sui rischi di phishing mirato. L’adozione di soluzioni di rilevamento avanzato e la verifica delle transazioni possono ridurre il rischio di compromissione.
La capacità del malware di deviare solo una parte delle transazioni rappresenta una nuova strategia per eludere i controlli automatici e prolungare l’attività fraudolenta senza destare sospetti immediati. Questo approccio rende più difficile per le vittime accorgersi tempestivamente del furto, aumentando il rischio di perdite finanziarie significative, soprattutto per chi gestisce portafogli di criptovalute di valore elevato.
