ClickFix nasconde il payload VBScript nella cache del browser

ClickFix è una tecnica di ingegneria sociale ormai molto diffusa: una finta verifica, di solito un CAPTCHA, convince la vittima a incollare ed eseguire un comando preparato dall’attaccante. Microsoft Threat Intelligence ha descritto una variante che rende più difficile notare le prime fasi dell’attacco: lo script malevolo arriva sul computer prima che la vittima faccia qualsiasi cosa, nascosto nella cache del browser e travestito da immagine.

Cosa è successo

Secondo quanto riportato da Infosecurity Magazine, Microsoft ha descritto la tecnica in un post su X del 3 ottobre 2026. Un gruppo di siti web compromessi portava i visitatori verso l’attacco: una finta finestra CAPTCHA chiedeva di aprire la finestra Esegui di Windows, incollare il contenuto degli appunti e premere Invio.

La novità sta nell’ordine delle operazioni. Il payload non viene scaricato dopo l’azione della vittima: il sito lo precarica nella cache del browser mentre la pagina è aperta. Il comando incollato deve solo trovare e avviare un file che è già sul disco. Secondo Microsoft questo serve a due scopi: nascondere lo script e aggirare il limite di caratteri della finestra Esegui, che non permetterebbe di incollare un comando lungo.

La catena d’attacco

Le fasi descritte da Microsoft, nell’ordine:

1. Comando nella finestra Esegui: avvia cmd.exe, che cerca nella cartella del profilo del browser i file in cache il cui nome inizia con f_ e confronta la dimensione di ciascuno con un valore atteso.
2. Individuazione per dimensione: gli attacchi precedenti cercavano un marcatore dentro il contenuto della cache; questo riconosce il file giusto dalla sola dimensione. Lo copia in una cartella temporanea con estensione .vbs e lo esegue con wscript.exe.
3. Ricognizione e secondo stadio: lo script VBScript raccoglie informazioni sul sistema tramite WMI, poi scarica uno script PowerShell e lo esegue aggirando la execution policy.
4. Codice in memoria: le fasi successive compilano e caricano altro codice in memoria e lo iniettano nel processo legittimo timeout.exe, per rubare credenziali dai browser e dal dispositivo.
5. Persistenza: il malware si collega ai server degli attaccanti, estrae una copia di Python con lo strumento di sistema tar.exe e crea un’attività pianificata che esegue un payload Python tramite pythonw.exe. Così l’accesso sopravvive al riavvio.

Nelle fonti disponibili non ci sono domini, indirizzi o hash dei file da usare come indicatori di compromissione.

Anche i record DNS TXT

Dark Reading inquadra la campagna in un’evoluzione più ampia di ClickFix: oltre al precaricamento nella cache del browser, segnala l’uso di record DNS TXT per nascondere i payload, con lo stesso obiettivo di rendere meno visibili le prime fasi dell’attacco. Le fonti disponibili non danno dettagli tecnici su questa variante.

Tecniche MITRE ATT&CK

Le fasi descritte corrispondono a queste tecniche:

• User Execution: Malicious Copy and Paste (T1204.004), il comando incollato dalla vittima;
• Command and Scripting Interpreter: Windows Command Shell (T1059.003), Visual Basic (T1059.005) e PowerShell (T1059.001);
• Windows Management Instrumentation (T1047), per la ricognizione;
• Process Injection (T1055), nel processo timeout.exe;
• Credentials from Web Browsers (T1555.003);
• Scheduled Task (T1053.005), per la persistenza.

Impatto per le aziende europee e italiane

La tecnica non sfrutta una vulnerabilità del software: sfrutta l’utente, che esegue il comando con i propri permessi. Per questo nessun aggiornamento la blocca da solo. Il precaricamento nella cache rende meno utili i controlli basati sui download: il file arriva come una normale risorsa della pagina e il comando incollato non contiene un indirizzo da cui scaricare.

Il bersaglio finale sono le credenziali salvate nei browser: accessi a posta, gestionali, servizi cloud e portali dei fornitori. Un solo computer compromesso può quindi aprire la strada ad altri sistemi. Per i soggetti NIS2 l’igiene informatica di base e la formazione del personale rientrano tra le misure di gestione del rischio; nella sanità, dove dalle postazioni si accede spesso a portali con dati dei pazienti, il furto di credenziali dal browser ha conseguenze particolarmente delicate.

Cosa fare subito

1. Attiva le protezioni consigliate da Microsoft: protezione fornita dal cloud, protezione di rete, controllo delle applicazioni e registrazione dei blocchi di script PowerShell (script block logging). Microsoft Defender Antivirus rileva l’esecuzione dei comandi malevoli come Trojan:Win32/ClickFix e Trojan:Win32/TermFix.
2. Cerca oltre i download, come suggerisce Microsoft: attività del browser, esecuzioni anomale di wscript.exe e PowerShell, nuove attività pianificate e la chiave di registro RunMRU (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU), che conserva i comandi digitati nella finestra Esegui.
3. Controlla le catene di processi: cmd.exe che legge file nella cache del browser, file .vbs nelle cartelle temporanee, tar.exe che estrae archivi, pythonw.exe avviato da un’attività pianificata.
4. Riduci gli strumenti a disposizione: valuta, per gli utenti che non ne hanno bisogno, di disattivare la finestra Esegui e Windows Script Host tramite criteri di gruppo, e limita con il controllo delle applicazioni gli interpreti che possono partire.
5. Informa il personale con un messaggio semplice, lo stesso di Microsoft: un CAPTCHA non chiede mai di eseguire codice. Chi vede una richiesta del genere deve chiudere la pagina e avvisare l’IT.
6. Se trovi un computer colpito, isolalo e considera compromesse le credenziali salvate nei suoi browser: vanno cambiate, con priorità agli account con privilegi.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi di sicurezza da computer e server e li raggruppa in famiglie come esecuzioni sospette e persistenza, con le tattiche MITRE ATT&CK nelle pagine del SOC. Con ARX Trace gli analisti avviano raccolte e ricerche su più macchine e controllano le modifiche ai file, utili per cercare tracce come le voci di RunMRU o i file .vbs nelle cartelle temporanee. ARX Shield mostra lo stato della protezione di ogni macchina e permette di isolare dalla rete un computer sospetto.

Ultimo aggiornamento: 6 ottobre 2026