Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium fornisce un aggiornamento su tre minacce emergenti. In primo luogo, esaminiamo la rapida evoluzione di una minaccia basata sul browser denominata ClickFix. Di seguito, analizzeremo come i picchi di attività dannosa spesso precedano la divulgazione delle vulnerabilità. Infine, analizziamo più da vicino un gruppo di hacker di lingua vietnamita responsabile di una campagna globale di PXA Stealer.
La campagna ClickFix sfrutta i CAPTCHA per la diffusione furtiva di malware
Un recente rapporto di Guardio Labs analizza la rapida evoluzione di una minaccia basata sul browser nota come ClickFix. Questo attacco utilizza finte finestre CAPTCHA sovrapposte per indurre gli utenti a eseguire comandi dannosi PowerShell copiati negli appunti, aggirando così la tradizionale diffusione di malware tramite download.
Sostituendo vecchie tattiche quali ClearFake, ClickFix si diffonde attraverso siti web compromessi, malvertising e campagne di phishing con marchio per distribuire malware finalizzato al furto di credenziali.
Guardio attribuisce il proprio successo a narrazioni sempre più sofisticate e a tecniche di elusione avanzate che rendono più difficili l’individuazione e la prevenzione.
Dagli aggiornamenti fasulli agli exploit che sfruttano gli appunti
La ricerca di Guardio prende le mosse da ClearFake, una campagna attiva all’inizio del 2024 che utilizzava siti WordPress compromessi per diffondere false notifiche di aggiornamento del browser. Questi aggiornamenti sembravano legittimi, ma in realtà venivano utilizzati per diffondere il malware Lumma Stealer.
Sulla scia di questa tattica, ClickFix è emerso poco dopo come una variante più sofisticata, abbandonando i payload basati su file per ricorrere invece a pagine CAPTCHA ingannevoli volte a eseguire comandi dannosi basati sugli appunti.
È interessante notare che il concetto di CAPTCHA fasullo non è nato come tattica malevola: è stato introdotto inizialmente come strumento di simulazione del “red team”, progettato per le esercitazioni di formazione in materia di sicurezza. Ma, come molte tecniche legittime, è stata rapidamente adottata e trasformata in arma dagli autori delle minacce.
L’espansione della presenza di ClickFix
ClickFix si è inizialmente diffuso attraverso reti pubblicitarie e malvertising, avvalendosi di un’ampia diffusione per raggiungere utenti ignari. Tuttavia, man mano che gli autori degli attacchi cercavano obiettivi di maggior valore, hanno cambiato tattica, inserendo payload CAPTCHA all’interno di siti web legittimi compromessi di cui gli utenti si fidavano già.
Da lì, la campagna si è estesa ai social media e alle piattaforme per sviluppatori, dove profili falsi inondano ora le sezioni dei commenti con consigli fuorvianti e link a download dannosi.
Ingegneria sociale più efficace grazie a un design familiare
Con la crescita di ClickFix, anche le sue strategie visive si sono evolute. Mentre le prime versioni imitavano il reCAPTCHA di Google, la campagna ora riproduce altre sfide ben note, come quelle di Cloudflare, per mantenere la propria credibilità.
Abbinando queste finestre sovrapposte ingannevoli a segnali di urgenza e a un’immagine di marca realistica, gli autori delle minacce rendono l’ , una tecnica di ingegneria sociale , ancora più convincente e aumentano notevolmente la probabilità che l’utente interagisca con essa.
Progressi tecnologici e payload multipiattaforma
Oltre all’ingegneria sociale, ClickFix è diventato sempre più sofisticato dal punto di vista tecnico. Gli autori degli attacchi ora occultano i comandi, ricorrono al caricamento dinamico degli script, nascondono i link tramite servizi di accorciamento URL e incorporano i payload in file apparentemente legittimi.
A partire da giugno 2025, hanno inoltre iniziato a sfruttare la piattaforma Google Scripts per ospitare pagine CAPTCHA fasulle, approfittando della sua reputazione di affidabilità per eludere i sospetti degli utenti. Nel frattempo, i payload si sono evoluti fino a diventare multipiattaforma, essendo ora in grado di colpire Windows, macOS e Linux.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La minaccia ClickFix continua a diffondersi rapidamente, a testimonianza della crescente sofisticazione delle tecniche di ingegneria sociale e della tendenza sempre più diffusa a sfruttare gli utenti.
Questo passaggio dall’esecuzione di malware basato su file a quella basata sugli appunti segna inoltre un’evoluzione significativa in termini di modalità di diffusione delle minacce, rendendo fondamentale per i team di sicurezza monitorare con maggiore attenzione sia i comportamenti degli utenti sia l’attività degli appunti.
Guardio ci ricorda come tecniche di questo tipo, che simulano i flussi reali degli utenti, siano sempre più pericolose e abbiano maggiori probabilità di successo.
Le attività dannose spesso precedono le divulgazioni relative all’ CVE
L’ultima analisi di GreyNoise, intitolata “”, mette in luce una tendenza significativa: il comportamento degli autori degli attacchi si intensifica spesso nelle settimane che precedono la divulgazione pubblica di nuove vulnerabilità. Il rapporto individua modelli ricorrenti nelle attività che precedono la divulgazione e sottolinea come l’individuazione tempestiva possa consentire ai responsabili della sicurezza di ridurre in modo proattivo l’esposizione alle minacce emergenti.
I picchi di attacchi possono segnalare vulnerabilità imminenti?
GreyNoise ha rilevato modelli distinti di attività dannose — quali scansioni, tentativi di forza bruta e sfruttamento di vulnerabilità — rivolti a tecnologie che in seguito si sono rivelate vulnerabili.
Concentrandosi sulle tecnologie di punta e sulle vulnerabilità (CVE) con un punteggio pari o superiore a 6 sulla scala CVSS, i ricercatori sono riusciti a quantificare tale tendenza e a dimostrare come l’interesse degli autori degli attacchi spesso preceda l’annuncio delle vulnerabilità.
Analisi del modello: dall’attività alla divulgazione
Per verificare tale ipotesi, GreyNoise ha analizzato il comportamento degli autori degli attacchi in relazione ai tag associati alle tecnologie di punta. Questi tag sono identificatori basati su firme utilizzati da GreyNoise per classificare e monitorare i modelli presenti nel traffico di scansione e di attacco a livello di Internet. Tali minacce abbracciano categorie quali scanner, crawler, strumenti di attacco a forza bruta, tentativi di exploit e associazioni note di CVE — in particolare quelle che prendono di mira tecnologie di punta quali VPN, firewall e strumenti di accesso remoto.
Dopo aver filtrato i dati rilevanti, il team ha individuato 216 picchi statisticamente significativi nell’attività degli autori degli attacchi provenienti dall’indirizzo settembre 2024. Ciascun picco è stato quindi associato a un “ CVE ” (punto di riferimento) recentemente reso noto, relativo alla stessa tecnologia o allo stesso prodotto.
In particolare, tutti i CVE individuati riguardavano tecnologie edge di otto fornitori aziendali: Cisco, Citrix, Fortinet, Ivanti, Juniper, MikroTik, Palo Alto e SonicWall.
Il comportamento dell’autore dell’attacco come segnale predittivo
GreyNoise ha rilevato che i picchi di attività degli autori degli attacchi si verificavano in genere da 3 a 6 settimane prima della divulgazione delle vulnerabilità da parte dell' CVE : il 50% si verificava 3 settimane prima e il 80% entro 6 settimane.
Il rapporto ha inoltre esaminato il modo in cui gli autori degli attacchi potrebbero riutilizzare vulnerabilità preesistenti nel periodo che precede la divulgazione di nuove informazioni, il che suggerisce un approccio deliberato e strategico allo sfruttamento delle stesse. In diversi casi, GreyNoise ha osservato picchi di attività relativi a CVE pregressi, come il Cisco CVE-2011-3315, poco prima che venissero rese note vulnerabilità più recenti che interessavano lo stesso prodotto.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La ricerca condotta da GreyNoise ci aiuta a comprendere l’importanza di individuare i modelli di comportamento degli autori degli attacchi in generale, soprattutto nella misura in cui tali modelli sono correlati alla divulgazione delle vulnerabilità. Ciò richiede il passaggio da strategie reattive a strategie proattive, al fine di individuare le attività dannose come precursori delle vulnerabilità.
Questa ricerca conferma inoltre che i tradizionali cicli di patch di sono spesso troppo lenti. Il fatto che i comportamenti degli autori degli attacchi spesso precedano la divulgazione delle vulnerabilità indica che potrebbe essere necessario un approccio diverso alla protezione dalle vulnerabilità. La definizione delle priorità relative alle vulnerabilità dovrebbe basarsi non solo sulla gravità e sulla rilevanza per l’organizzazione, ma anche sull’interesse manifestato dagli autori degli attacchi.
Il rapporto di GreyNoise include inoltre alcune raccomandazioni utili per i difensori.
Un gruppo di hacker legato a Telegram lancia una campagna globale denominata “PXA Stealer”
Un gruppo di hacker di lingua vietnamita ha avviato una campagna su larga scala volta al furto di informazioni, avvalendosi di PXA Stealer, un malware basato su Python. Una ricerca condotta congiuntamente da SentinelOne e Beazley Security rivela che l’operazione ha portato al furto di oltre 200.000 password, centinaia di dati relativi a carte di credito e oltre 4 milioni di cookie del browser.
Operazione di malware su più Stati collegata a un mercato del crimine informatico basato su Telegram
Avviata per la prima volta alla fine del 2024, la campagna si è trasformata in un’operazione sofisticata e articolata in più fasi. SentinelOne e Beazley Security hanno scoperto il suo collegamento con un marketplace su Telegram che facilita la vendita dei dati rubati alle vittime.
Tra le tattiche principali figurano il sideloading di DLL dannose tramite software firmato, come Haihaisoft PDF Reader, e l’inserimento di malware in archivi camuffati da tipi di file comuni. Il payload finale — PXA Stealer — sottrae dati sensibili che vanno dalle password alle voci di compilazione automatica del browser.
Installazione tramite Haihaisoft e migrazione dell’infrastruttura
Dalla fine del 2024, i ricercatori hanno monitorato il continuo perfezionamento da parte dell’autore delle tecniche di sideloading e le modifiche apportate alla sua infrastruttura di comando e controllo (C2).
Una tattica degna di nota osservata nell’attacco “ aprile 2025 ” consiste nel indurre le vittime, tramite phishing, a scaricare un archivio compresso contenente una copia firmata del programma Haihaisoft PDF Reader insieme a una DLL dannosa. Una volta eseguita, la DLL ha garantito la propria persistenza e ha scaricato ulteriori payload ospitati su Dropbox.
Questa fase ha inoltre segnato un cambiamento strategico nella strumentazione utilizzata dall’autore dell’attacco: il passaggio dai tradizionali eseguibili di tipo “ Windows ” a payload basati su Python — un cambiamento che suggerisce l’intenzione di aumentare la modularità e ridurre il rischio di rilevamento.
Una nuova variante introduce una catena di contagio avanzata basata su archivi
Una variante di “ luglio 2025 ” individuata da Beazley Security ha introdotto tattiche più sofisticate. L’esca comprendeva un file eseguibile di Word 2013 firmato da Microsoft , una DLL installata tramite sideload e una directory denominata “-” contenente ulteriori payload.
Alle vittime è stato mostrato un documento fasullo che faceva riferimento a violazioni del diritto d’autore, mentre un prompt dei comandi nascosto eseguiva il comando certutil per decodificare uno script Python camuffato denominato images.png.
I bot di Telegram e i relay di Cloudflare favoriscono il furto di dati
Il payload finale, PXA Stealer, è comunemente utilizzato da autori di minacce di lingua vietnamita. Raccoglie ed esfiltra dati tramite gli ID dei bot di Telegram, prendendo di mira i browser, i dati di compilazione automatica, i token di autenticazione e la chiave di crittografia legata all’app di Chrome. Inoltre, estrae file da portafogli crittografici desktop, client VPN, servizi cloud e risorse condivise.
I dati rubati vengono compressi in file ZIP e inviati tramite bot di Telegram utilizzando i relay di Cloudflare Worker. Il rapporto include un'analisi dettagliata delle applicazioni prese di mira e dell'infrastruttura di Telegram utilizzata per gli abusi.
Vittimologia: portata globale con un approccio mirato
L'analisi dei BotID attivi associati alla campagna PXA Stealer ha rivelato oltre 4.000 vittime distinte. Tra le regioni più frequentemente prese di mira figurano la Repubblica di Corea, gli Stati Uniti e i Paesi Bassi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I registri di PXA Stealer indicano che sono stati presi di mira 62 paesi diversi, a dimostrazione di come la criminalità informatica stia diventando sempre più senza confini. Ciò rende più complessa l’attribuzione quando gli autori delle minacce utilizzano infrastrutture globali per prendere di mira una gamma così ampia di vittime.
I dati sottratti da PXA Stealer vengono rivenduti tramite i mercati di Telegram, come avviene per molti altri dati rubati da infostealer, e ciò dimostra come la criminalità informatica stia diventando sempre più una merce, con i log trattati alla stregua di merce in magazzino.
Come sottolinea il rapporto, si tratta dell’ennesimo esempio lampante di come gli autori delle minacce sfruttino infrastrutture legittime per svolgere attività dannose. Ciò costituisce un forte monito sull’importanza dei sistemi di rilevamento comportamentale.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
