Una verifica CAPTCHA dovrebbe servire a dimostrare che dall’altra parte dello schermo c’è una persona e non un bot. Ma cosa succede quando quella verifica è falsa?
I cybercriminali hanno iniziato a sfruttare la familiarità degli utenti con questi strumenti per costruire campagne di social engineering sempre più convincenti. Viene utilizzata la tecnica del ClickFix che, tramite una falsa verifica, un errore di sistema o un messaggio di sicurezza, spinge l’utente a eseguire direttamente un comando sul proprio dispositivo. Quello dei CAPTCHA falsi è un meccanismo particolarmente insidioso perché porta la vittima a compiere personalmente l’azione che può avviare l’infezione.
Cos’è ClickFix e come funziona
ClickFix è la tecnica di social engineering che porta l’utente a seguire istruzioni apparentemente utili per risolvere un problema. L’attacco inizia generalmente attraverso un’email di phishing, un annuncio malevolo, un sito compromesso o una pagina web fraudolenta.
Una volta raggiunta la pagina, l’utente può visualizzare un messaggio che simula un problema tecnico, una verifica di sicurezza o un CAPTCHA. La schermata è progettata per sembrare legittima e può riprodurre l’aspetto di servizi e brand conosciuti, come Google reCAPTCHA o Cloudflare Turnstile.
Successivamente, l’utente viene invitato a seguire una serie di istruzioni che prevedono il copia-incolla e l’esecuzione di un comando. Il comando può essere inserito nel prompt “Esegui” di Windows, in PowerShell o, nelle campagne più recenti, direttamente in Windows Terminal. Una volta eseguito, può avviare il download e l’esecuzione di codice malevolo.
Perché i CAPTCHA falsi sono così efficaci
Il punto di forza di questa tecnica è proprio la sua semplicità. Gli utenti sono abituati a incontrare CAPTCHA durante la navigazione e, davanti a una richiesta di verifica, difficilmente si fermano a chiedersi cosa ci sia dietro. Se la pagina riproduce l’aspetto di un servizio conosciuto, la richiesta può quindi sembrare del tutto normale.
Il falso CAPTCHA viene usato come strumento di social engineering: l’hacker non deve necessariamente sfruttare una vulnerabilità tecnica, ma può spingere l’utente a fare qualcosa di sua spontanea volontà. Nel caso di ClickFix, ad esempio, la verifica può portare l’utente a seguire una serie di istruzioni ed eseguire un comando sul proprio dispositivo. A quel punto, l’azione dannosa parte apparentemente dall’utente stesso e può essere scambiata per una normale procedura di risoluzione di un problema.
Microsoft ha osservato campagne ClickFix rivolte sia a dispositivi aziendali che personali, utilizzate per distribuire diversi tipi di malware, tra cui infostealer capaci di sottrarre credenziali e altre informazioni.
Come avviene un attacco ClickFix
Un attacco ClickFix può svilupparsi attraverso alcuni passaggi ricorrenti, cominciando dall’atterraggio dell’utente su una pagina dall’aspetto affidabile e/o conosciuto.
L’utente raggiunge una pagina apparentemente legittima
Un link ricevuto via email, un risultato di ricerca o una pubblicità online possono essere i punti di partenza, ma anche la compromissione di un sito legittimo che sfrutta quella pagina per mostrare la schermata fraudolenta.
Per l’utente, la differenza può essere difficile da notare: il sito visitato è reale e può essere un servizio che utilizza abitualmente. La pagina del falso CAPTCHA si inserisce quindi in un contesto apparentemente normale, senza necessariamente generare i segnali d’allarme tipici di una pagina di phishing.
Compare una falsa verifica
A questo punto la pagina può mostrare un CAPTCHA, un messaggio di errore o un avviso che chiede all’utente di completare una procedura prima di continuare. La schermata può riprendere l’aspetto di servizi conosciuti, con loghi, checkbox e messaggi che ricordano le normali verifiche di sicurezza.
In alcuni casi i CAPTCHA falsi vengono sovrapposti alla pagina originale. L’utente si trova quindi davanti a una schermata che sembra appartenere al sito che stava visitando, anche se la richiesta visualizzata è stata inserita dall’attaccante.
Il comando viene copiato e incollato
La pagina può chiedere all’utente di premere una scorciatoia da tastiera, aprire una finestra di sistema e incollare un comando già pronto.
In alcune campagne, il comando viene copiato direttamente negli appunti del dispositivo. L’utente può quindi incollarlo senza leggerne il contenuto e, seguendo le istruzioni visualizzate, arrivare a eseguirlo. È proprio questo il meccanismo che distingue ClickFix.
Il comando avvia la catena di compromissione
Il comando eseguito può sfruttare strumenti già presenti nel sistema, come PowerShell, uno strumento di Windows utilizzato per eseguire comandi, per scaricare o avviare codice malevolo. A seconda della campagna, il risultato può essere il furto di credenziali e altre informazioni oppure l’installazione di malware con funzionalità di accesso remoto.
In questo scenario il punto di ingresso non è necessariamente un file eseguibile scaricato dall’utente, ma l’azione che l’utente viene convinto a compiere.
Come riconoscere i CAPTCHA falsi
Un CAPTCHA che chiede di aprire PowerShell, Windows Terminal o il prompt dei comandi non sta svolgendo una normale verifica. Lo stesso vale per una pagina che invita a copiare e incollare comandi, utilizzare scorciatoie da tastiera insolite o modificare le impostazioni di sicurezza del dispositivo.
Anche le richieste di verifica che compaiono all’improvviso su siti che normalmente non le richiedono sono segnali da non ignorare. Infine, è importante prestare attenzione sia all’indirizzo della pagina sia al modo in cui ci si è arrivati, soprattutto quando il link proviene da un’email inattesa o da una fonte sconosciuta.
La regola più semplice da ricordare è questa: un CAPTCHA serve a verificare che l’utente sia una persona, non a fargli eseguire comandi sul proprio computer.
ClickFix e phishing: una minaccia per le aziende
In un contesto aziendale, una campagna ClickFix può partire da una normale email di phishing. L’utente segue il link, arriva su una pagina contraffatta e viene guidato attraverso la falsa verifica fino all’esecuzione del comando.
In questo modo phishing e social engineering lavorano insieme. Una volta compromesso il dispositivo, il cybercriminale può puntare alle credenziali dell’utente, ai dati presenti sul computer o agli account aziendali a cui ha accesso.
Il rischio non si limita quindi al singolo dispositivo. Un computer compromesso può diventare il punto di ingresso per ulteriori attività all’interno dell’infrastruttura, soprattutto quando l’account coinvolto dispone di privilegi elevati o consente di raggiungere altre risorse aziendali.
Per ridurre il rischio servono più livelli di protezione.
Come proteggersi dagli attacchi ClickFix
La formazione degli utenti resta una delle prime difese contro questo tipo di attacco. È importante che sappiano riconoscere una richiesta anomala e, soprattutto, che non considerino normale l’esecuzione di comandi suggeriti da una pagina web.
Sul piano tecnico, le soluzioni di endpoint security possono rilevare comportamenti sospetti e attività malevole. I sistemi di protezione della posta elettronica e dei browser possono invece contribuire a bloccare link e contenuti fraudolenti prima che raggiungano l’utente.
Anche la gestione dei privilegi ha un ruolo importante. Applicare il principio del least privilege limita ciò che un hacker possa fare se riesce a compromettere un dispositivo o un account.
Sistemi operativi, applicazioni e strumenti di sicurezza devono inoltre essere mantenuti aggiornati. Il monitoraggio dei dispositivi aziendali permette di individuare più rapidamente attività insolite e intervenire prima che una compromissione possa estendersi.
Proteggere gli utenti significa proteggere l’infrastruttura
ClickFix mostra un’evoluzione del social engineering: l’utente non viene semplicemente spinto a cliccare su un link, ma viene guidato passo dopo passo fino a eseguire un comando sul proprio dispositivo.
Sapere che un CAPTCHA non dovrebbe mai richiedere l’apertura di strumenti di sistema o l’esecuzione di comandi è già una prima misura di prevenzione. Ma non può essere l’unica.
