Chrome: avvisi contro ClickFix e analisi Gemini dei siti truffa

Google ha annunciato nuove difese di Chrome contro truffe e ingegneria sociale. La più interessante per chi gestisce postazioni aziendali riguarda ClickFix: Chrome ora può accorgersi quando un utente copia da una pagina web un comando malevolo e mostrargli un avviso prima che lo esegua. Le novità, riportate da Help Net Security, The Hacker News, SecurityWeek e BleepingComputer, toccano quasi tutte la modalità Protezione avanzata (Enhanced Protection) di Safe Browsing; il controllo delle connessioni HTTP vale invece per tutti.

Cosa è cambiato

Le fonti descrivono quattro interventi:

1. Due livelli di avviso sui siti. L’avviso rosso a tutta pagina resta per i siti che Safe Browsing ritiene pericolosi con alta confidenza. Si aggiunge un livello «sito sospetto» per i verdetti meno certi: pagine con schemi ingannevoli tipici dei siti malevoli già noti. Secondo SecurityWeek è lo stesso modello a due livelli già usato per i download. Google spiega che una grafica dedicata gli permette di mostrare più avvisi senza disturbare troppo.
2. Analisi delle truffe con Gemini sui server. Il modello che girava sul dispositivo e cercava solo le truffe di falso supporto tecnico è stato sostituito da un modello lato server, disponibile a tutti gli utenti della Protezione avanzata. Ora riconosce anche i falsi antivirus e i falsi aggiornamenti del browser. Valuta il marchio mostrato, lo scopo della pagina e la probabilità di truffa; Safe Browsing combina questo giudizio con la reputazione del dominio e altri segnali.
3. Avvisi sui comandi ClickFix copiati (dettagli nel paragrafo seguente).
4. Conferma prima delle connessioni HTTP. Secondo SecurityWeek, Chrome chiede ora a tutti gli utenti il permesso prima di aprire un sito in HTTP non cifrato, funzione arrivata prima, quest’anno, a chi usava la Protezione avanzata.

Come funziona il controllo su ClickFix

Negli attacchi ClickFix una pagina inventa un problema (un CAPTCHA da superare, un errore da «correggere») e chiede alla vittima di copiare un comando e incollarlo nel terminale o nella finestra Esegui. Help Net Security ricorda che il comando copiato può essere diverso da quello mostrato a schermo. Di solito avvia strumenti già presenti nel sistema, come PowerShell e cmd.exe, che scaricano e installano il malware.

Il punto debole sfruttato è preciso: il download non passa dal browser ma dal terminale, quindi le protezioni di Chrome e Safe Browsing sui download non intervengono mai. Google ha quindi spostato il controllo al momento della copia. Quando un utente con la Protezione avanzata copia un testo che sembra uno script ClickFix, Chrome toglie dagli appunti i dati personali, invia il contenuto a Safe Browsing e, se il verdetto è «pericoloso», mostra un avviso. Google dichiara di aver puntato sull’alta precisione, per non disturbare il lavoro legittimo degli sviluppatori.

Le fonti non indicano una versione di Chrome, i tempi di distribuzione né i sistemi operativi coinvolti; BleepingComputer parla di comandi PowerShell e Prompt dei comandi, quindi di Windows. Dalle fonti non è chiaro se l’utente possa ignorare l’avviso: BleepingComputer scrive che compare «prima di proseguire».

Tecniche MITRE ATT&CK

Il controllo interviene su queste tecniche:

• User Execution: Malicious Copy and Paste (T1204.004), il comando incollato dalla vittima;
• Command and Scripting Interpreter: PowerShell (T1059.001) e Windows Command Shell (T1059.003);
• Ingress Tool Transfer (T1105), il download del malware fatto dal terminale invece che dal browser.

Dati inviati a Google

Google afferma che il testo della pagina viene analizzato sui server solo quando un sito mostra forti indizi di truffa, e che i contenuti inviati sono trattati in modo effimero: non vengono registrati, conservati né usati per addestrare modelli. Per gli appunti, i dati personali vengono rimossi prima dell’invio. Per un’azienda europea sono comunque contenuti di lavoro che escono dal dispositivo: la scelta di attivare la Protezione avanzata su tutte le postazioni va valutata anche con chi si occupa di protezione dei dati.

Impatto per le aziende europee e italiane

ClickFix non sfrutta una vulnerabilità: sfrutta l’utente, che esegue il comando con i propri permessi. Un avviso nel browser nel momento della copia è un livello di difesa in più, ma copre solo Chrome con la Protezione avanzata attiva. Restano scoperti gli altri browser e i comandi che arrivano per altre strade, come email, chat o documenti.

Il dato del «dieci volte più sicuri» rispetto alla protezione standard, citato da Google, si basa sul numero medio di avvisi mostrati ai due gruppi di utenti: misura quanti avvisi compaiono, non quanti attacchi vanno a segno.

Il controllo sull’HTTP riguarda anche le applicazioni interne. Secondo Google non scatta per i nomi host di una sola parola e per gli indirizzi IP locali; stando a questa descrizione, le applicazioni interne raggiungibili in HTTP con un nome di dominio completo dovrebbero invece mostrare la richiesta di conferma alla prima visita, e di nuovo dopo almeno due settimane senza visite.

Per i soggetti NIS2 l’igiene informatica di base e la formazione del personale rientrano tra le misure di gestione del rischio. Nella sanità, dove dalle postazioni si accede a portali con dati dei pazienti, un singolo comando incollato può portare al furto delle credenziali di quei portali.

Cosa fare subito

1. Valuta la Protezione avanzata sulle postazioni gestite: con i criteri aziendali di Chrome si imposta il livello di Safe Browsing (SafeBrowsingProtectionLevel). Coinvolgi il responsabile della protezione dei dati per l’invio di contenuti a Google.
2. Censisci le applicazioni interne in HTTP e passale a HTTPS, oppure avvisa gli utenti della nuova richiesta di conferma.
3. Non affidarti solo al browser: limita PowerShell e gli interpreti di script per gli utenti che non ne hanno bisogno, valuta di disattivare la finestra Esegui con i criteri di gruppo e attiva la registrazione dei blocchi di script PowerShell.
4. Cerca le tracce: processi powershell.exe o cmd.exe avviati da explorer.exe con comandi di download, connessioni in uscita subito dopo, voci recenti nella chiave RunMRU del registro.
5. Informa il personale: nessuna verifica legittima chiede di copiare ed eseguire un comando. Chi vede un avviso di Chrome su un comando copiato deve fermarsi e avvisare l’IT.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi di sicurezza da computer e server e li raggruppa in famiglie come le esecuzioni sospette, con le tattiche MITRE ATT&CK nelle pagine del SOC: un comando ClickFix eseguito lascia tracce anche quando il browser non l’ha fermato. Con ARX Trace gli analisti avviano ricerche su più macchine, per esempio sulle esecuzioni di PowerShell, e ARX Shield permette di isolare dalla rete un computer sospetto.

Ultimo aggiornamento: 21 ottobre 2026