Cisco mette in guardia su due campagne che inducono gli utenti a eseguire comandi malevoli sui propri dispositivi. I servizi online vengono utilizzati per ospitare le istruzioni d’attacco, mentre falsi avvisi di sicurezza e controlli anti-bot rendono credibili le richieste.
Servizi cloud di uso comune e false schermate di verifica diventano strumenti per indurre le vittime a eseguire personalmente codice malevolo. Due campagne analizzate dai ricercatori di Cisco Talos sfruttano la tecnica ClickFix per sottrarre criptovalute e credenziali e, in una delle operazioni, consentire anche il controllo remoto dei dispositivi compromessi.
Il meccanismo si basa sull’ingegneria sociale: anziché limitarsi a chiedere di aprire un allegato o scaricare un file, gli attaccanti presentano una procedura apparentemente necessaria e convincono l’utente a copiare, incollare ed eseguire comandi dannosi. L’impiego di piattaforme note per ospitare parte delle istruzioni contribuisce a rendere meno riconoscibile l’attività malevola.
Falsi rimborsi per attirare gli investitori in criptovalute
La prima campagna, indicata come attiva dall’ottobre 2025, prende di mira gli investitori in criptovalute attraverso un falso avviso di sicurezza, diffuso su Telegram, forum e siti di condivisione di contenuti. Il messaggio promette compensazioni superiori al 25% per presunte vulnerabilità di alcune piattaforme di scambio.
Per ottenere il beneficio, le vittime vengono invitate a compiere operazioni nel browser che attivano codice malevolo ospitato in documenti Google apparentemente innocui. Secondo la ricostruzione dei ricercatori, il malware può alterare le informazioni visualizzate durante le transazioni e reindirizzare i fondi verso portafogli controllati dagli attaccanti. Un falso bonus rafforza l’inganno e incoraggia il completamento dell’operazione.
L’indagine ha individuato 49 indirizzi Bitcoin collegati alla campagna. Almeno 24 avrebbero ricevuto fondi sottratti alle vittime per un valore complessivo superiore a 10.000 dollari. Le somme sarebbero poi state trasferite attraverso migliaia di altri indirizzi, complicandone la tracciabilità.
La rimozione dei contenuti segnalati non avrebbe interrotto stabilmente l’attività: gli autori avrebbero ripreso le operazioni nel giro di pochi giorni utilizzando nuovi documenti Google, rimasti online, secondo i ricercatori, fino ad agosto.
La falsa verifica anti-bot apre la strada al malware
La seconda campagna è stata individuata nell’aprile 2026, dopo il rilevamento di attività sospette presso un’organizzazione governativa ucraina. Secondo i ricercatori, l’obiettivo era probabilmente il furto di criptovalute e credenziali, più che un’azione specificamente diretta contro l’ente.
Dopo aver compromesso un sito web, gli attaccanti hanno utilizzato servizi online pubblici per ospitare e distribuire componenti dell’attacco. Alle vittime veniva mostrata una falsa schermata di verifica Google, simile ai controlli utilizzati per distinguere una persona da un sistema automatizzato.
L’esecuzione delle istruzioni portava all’installazione di malware capace di sottrarre password, dati personali e informazioni conservate nei portafogli di criptovalute. La compromissione poteva inoltre consentire agli attaccanti di assumere il controllo remoto del computer e impiegarlo per ulteriori attività criminali.
Il rischio nasce dalla richiesta, non soltanto dal dominio
Le due campagne mostrano come un servizio legittimo possa essere utilizzato per ospitare contenuti malevoli senza che questo implichi una compromissione della piattaforma stessa. La reputazione del dominio, quindi, non basta a valutare la sicurezza dell’operazione richiesta all’utente.
Le indicazioni riportate nel comunicato riguardano il monitoraggio delle attività anomale associate ai servizi cloud e la verifica periodica di componenti ed estensioni dei browser e dei siti aziendali. Sul piano della formazione, il segnale da riconoscere è soprattutto la richiesta di copiare ed eseguire comandi sul dispositivo per superare una presunta verifica anti-bot: è questo il passaggio con cui l’inganno trasforma l’utente nell’esecutore dell’attacco.
© Riproduzione riservata