Co znajdziesz w tym artykule?
Wprowadzenie do problemu
Kampanie ClickFix to technika socjotechniczna, w której ofiara jest nakłaniana do ręcznego uruchomienia polecenia w systemie pod pretekstem rozwiązania problemu technicznego, weryfikacji bezpieczeństwa lub pobrania legalnie wyglądającego narzędzia. Najnowsza odsłona tej metody wymierzonej w użytkowników macOS pokazuje, że operatorzy ataków coraz częściej łączą inżynierię społeczną z mechanizmami selekcji ofiar opartymi na fingerprintingu przeglądarki.
W praktyce oznacza to, że złośliwa treść nie jest prezentowana każdemu odwiedzającemu. Serwer analizuje cechy środowiska użytkownika i dopiero na tej podstawie decyduje, czy wyświetli fałszywe pobranie dla macOS, neutralną stronę czy inną przynętę. Taki model znacząco utrudnia pracę analitykom, systemom sandbox oraz automatycznym skanerom URL.
W skrócie
- Badacze powiązali kampanię z infrastrukturą obejmującą ponad 250 domen front-end.
- Ataki były ukierunkowane na użytkowników macOS.
- Fingerprinting przeglądarki służy do ukrywania złośliwych treści przed analizą.
- Końcowym ładunkiem w obserwowanym łańcuchu był Atomic macOS Stealer (AMOS).
- Kluczowy etap kompromitacji nadal wymaga ręcznego uruchomienia polecenia w Terminalu przez użytkownika.
Kontekst i historia
ClickFix nie jest odrębną rodziną malware, lecz metodą dostarczania złośliwego oprogramowania opartą na manipulacji użytkownikiem. W ostatnich kilkunastu miesiącach technika ta była stosowana zarówno w kampaniach przeciwko systemom Windows, jak i macOS. W ekosystemie Apple wpisuje się to w szerszy trend rosnącej aktywności operatorów infostealerów, którzy coraz rzadziej korzystają z prostych, statycznych przynęt.
Wcześniejsze warianty tego typu kampanii często ujawniały złośliwe instrukcje bezpośrednio w kodzie strony. Dzięki temu analitycy mogli relatywnie łatwo identyfikować komendy, adresy etapowania i elementy logiki ataku. Obecnie decyzja o pokazaniu właściwej przynęty została przeniesiona na serwer, co ogranicza widoczność ataku tylko do wybranych ofiar i utrudnia wykrywanie na podstawie pojedynczej inspekcji strony.
Analiza techniczna
Nowa odsłona kampanii wykorzystuje skrypt JavaScript zbierający zestaw sygnałów środowiskowych z przeglądarki. Obejmuje to informacje o platformie, parametrach okna i ekranu, właściwościach obiektu navigator oraz wskaźnikach związanych z WebGL. Celem jest ustalenie, czy po drugiej stronie znajduje się realny użytkownik komputera Mac, czy też środowisko analityczne, maszyna wirtualna albo emulator.
Mechanizm uwzględnia także strefę czasową, obecność strony w ramce iframe oraz obsługę dotyku, która zwykle nie jest typowa dla desktopowego macOS. Dodatkowo wykorzystywane są techniki antyanalityczne, takie jak sprawdzanie, czy otwarto narzędzia deweloperskie, oraz testy wykrywające niestandardowe przeglądarki lub środowiska próbujące symulować określone funkcje multimedialne.
Zebrany fingerprint trafia do serwera, który dopiero wtedy podejmuje decyzję o odpowiedzi. W zależności od wyniku oceny użytkownik może zobaczyć pustą stronę, nieszkodliwie wyglądającą zawartość, fałszywe rozszerzenie przeglądarki albo stronę stylizowaną na legalne pobranie aplikacji dla macOS. To sprawia, że ten sam adres może zachowywać się inaczej wobec różnych odbiorców.
Jeżeli ofiara zostanie zakwalifikowana do właściwego scenariusza i wykona polecenie w Terminalu, atak przechodzi do kolejnego etapu. Zaciemniona komenda pobiera dalsze skrypty z infrastruktury operatora, między innymi z adresów zgodnych ze schematem ścieżek typu /curl/<id>, a następnie uruchamia infostealera. W analizowanym przypadku końcowym ładunkiem był AMOS, znany z kradzieży danych z przeglądarek, magazynów uwierzytelniania, portfeli kryptowalutowych oraz lokalnych plików.
Z perspektywy detekcji istotne są korelacje behawioralne. Szczególną uwagę powinny zwracać sytuacje, w których po wejściu na stronę WWW pojawia się nietypowa aktywność Terminala, użycie curl, potokowanie do zsh, dekodowanie Base64, wywołania osascript, tworzenie archiwów oraz późniejsze połączenia HTTP POST do zewnętrznych serwerów.
Konsekwencje i ryzyko
Najpoważniejszym skutkiem takich kampanii jest kradzież danych uwierzytelniających i materiału pozwalającego na przejęcie kont. Dotyczy to zapisanych haseł, ciasteczek sesyjnych, tokenów, danych portfeli kryptowalutowych oraz dokumentów znajdujących się lokalnie na urządzeniu. W środowisku firmowym skutki mogą być znacznie szersze i obejmować dostęp do usług SaaS, repozytoriów kodu, narzędzi deweloperskich, paneli administracyjnych i zasobów chmurowych.
Drugim ważnym ryzykiem jest błędna ocena reputacji domen. Strona, która podczas jednorazowej analizy wygląda nieszkodliwie, może nadal stanowić aktywny element infrastruktury przestępczej. Selektywne serwowanie treści sprawia, że tradycyjne listy IOC oparte wyłącznie na domenach tracą część swojej wartości operacyjnej, a jednorazowe skanowanie przestaje być wystarczające.
Dla zespołów SOC i DFIR oznacza to konieczność skupienia się nie tylko na samym payloadzie, ale również na mechanizmach bramkujących, telemetrii endpointów i zależnościach infrastrukturalnych. Operatorzy mogą bowiem szybko rotować domeny front-end, zachowując podobną logikę fingerprintingu i to samo zaplecze etapowania.
Rekomendacje
Organizacje powinny traktować każdą stronę internetową instruującą użytkownika, by wkleił i uruchomił komendę w Terminalu, jako silny sygnał potencjalnej próby kompromitacji. Kluczowe znaczenie ma edukacja użytkowników: legalne strony, fałszywe CAPTCHA, komunikatory czy pseudo-instalatory nie powinny wymagać ręcznego wykonywania poleceń systemowych.
- Monitorować procesy terminalowe i ich relacje z aktywnością przeglądarki.
- Wdrażać detekcję wzorców takich jak curl | zsh, dekodowanie Base64 i nietypowe użycie osascript.
- Korelować ruch wychodzący z momentem tworzenia archiwów oraz odczytu wrażliwych lokalizacji.
- Analizować strony pod kątem ukrytych formularzy fingerprintingu i automatycznego przesyłania danych środowiskowych.
- Blokować znane ścieżki etapowania i charakterystyczne wzorce komunikacji, a nie polegać wyłącznie na listach domen.
W środowiskach Apple istotne jest również utrzymywanie aktualnego systemu oraz natywnych mechanizmów ochronnych. Dodatkowe zabezpieczenia utrudniające wklejanie lub uruchamianie podejrzanych poleceń w Terminalu mogą zwiększyć szansę na przerwanie ataku, ale nie eliminują ryzyka całkowicie. Najważniejszym elementem pozostaje świadoma decyzja użytkownika, by nie wykonywać komend pochodzących z niezweryfikowanych stron.
Podsumowanie
Opisana kampania pokazuje, że operatorzy ClickFix rozwijają swoje możliwości operacyjne i skuteczniej utrudniają analizę infrastruktury. Największa zmiana nie dotyczy samego malware, lecz warstwy selekcji ofiar: fingerprinting przeglądarki oraz decyzje podejmowane po stronie serwera ograniczają widoczność przynęty i obniżają skuteczność automatycznych narzędzi wykrywających.
Dla obrońców oznacza to potrzebę koncentrowania się na zachowaniach, korelacji zdarzeń i telemetrii endpointów. Dla użytkowników pozostaje jedna podstawowa zasada: nie uruchamiać poleceń w Terminalu skopiowanych ze stron internetowych, nawet jeśli witryna wygląda wiarygodnie i podszywa się pod legalne oprogramowanie.
Źródła
- https://thehackernews.com/2026/08/over-250-clickfix-domains-use-browser.html
- https://support.apple.com/en-us/127377
- https://www.microsoft.com/en-us/security/blog/2026/02/02/infostealers-without-borders-macos-python-stealers-and-platform-abuse/
- https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/
- https://www.malwarebytes.com/blog/news/2026/04/clickfix-finds-new-way-to-infect-macs