Cisco Talos ha individuato due campagne ClickFix che sfruttano servizi cloud affidabili e comuni fogli Google per convincere gli utenti a eseguire codice malevolo sui propri dispositivi. Gli attacchi puntano soprattutto al furto di criptovalute, password e dati sensibili e, in alcuni casi, possono consentire ai criminali di prendere il controllo remoto del computer compromesso.
Google Docs usato per nascondere il codice malevolo
Secondo Cisco Talos, gli attaccanti sfruttano il fatto che il traffico verso Google Docs sia normalmente consentito all’interno di aziende e organizzazioni. Il codice malevolo può quindi essere nascosto all’interno di documenti o fogli apparentemente innocui, facendo sembrare l’attività una normale richiesta verso un servizio Google e rendendo più difficile l’individuazione dell’attacco.
Il punto centrale della tecnica ClickFix è proprio il coinvolgimento diretto della vittima: l’utente viene convinto a copiare, incollare o avviare personalmente comandi dannosi sul proprio computer, spesso con la scusa di risolvere un problema o completare una verifica.
Gli investitori in criptovalute sono tra i principali bersagli
La prima campagna analizzata da Cisco Talos risulta attiva dall’ottobre 2025 e prende di mira gli investitori in criptovalute attraverso falsi avvisi di sicurezza. Le vittime vengono attirate con la promessa di compensazioni superiori al 25% per presunte vulnerabilità individuate su alcune piattaforme di scambio.
I messaggi sono stati distribuiti attraverso Telegram, forum online e siti di condivisione di contenuti. Per ottenere il presunto beneficio, agli utenti viene chiesto di eseguire determinate operazioni nel browser che, in realtà, attivano un programma malevolo nascosto all’interno di documenti Google.
Le transazioni possono essere dirottate verso wallet criminali
Una volta installato, il malware può modificare le informazioni mostrate durante una transazione in criptovalute e reindirizzare i fondi verso portafogli controllati dagli attaccanti. Per rendere l’operazione più credibile, viene inoltre mostrato un falso bonus che spinge la vittima a completare la transazione.
Durante l’indagine Cisco Talos ha identificato 49 indirizzi Bitcoin collegati alla campagna. Almeno 24 di questi avrebbero ricevuto fondi sottratti alle vittime per un valore complessivo superiore a 10.000 dollari. Le somme sono state poi trasferite attraverso migliaia di indirizzi differenti, complicando ulteriormente il tracciamento dei movimenti.
La campagna è ripartita dopo le prime rimozioni
Dopo le segnalazioni inviate da Cisco Talos a Google e alle piattaforme coinvolte, parte dei contenuti utilizzati per attirare le vittime è stata rimossa. Gli attaccanti, tuttavia, avrebbero ripreso le attività nel giro di pochi giorni utilizzando nuovi documenti Google.
Secondo i ricercatori, alcuni di questi contenuti sarebbero rimasti disponibili online fino ad agosto nonostante ulteriori segnalazioni, dimostrando quanto rapidamente gli autori delle campagne possano spostare la propria infrastruttura su nuovi documenti e servizi.
Una falsa verifica Google può installare malware
La seconda campagna è stata individuata nell’aprile 2026 dopo il rilevamento di attività sospette presso un’organizzazione governativa ucraina. Cisco Talos ritiene che l’obiettivo principale fosse comunque il furto di criptovalute e credenziali piuttosto che l’organizzazione in quanto tale.
Dopo aver compromesso un sito web, i criminali utilizzano servizi pubblici online per distribuire gli strumenti necessari all’attacco. Le vittime vedono quindi una falsa schermata di verifica Google, simile ai controlli utilizzati per confermare di non essere un robot.
Seguendo le istruzioni visualizzate, l’utente finisce per installare autonomamente un malware capace di sottrarre password, informazioni personali e dati presenti nei wallet di criptovalute.
Gli attaccanti possono arrivare al controllo remoto del computer
Le conseguenze non si limitano al furto delle credenziali. Il malware può consentire agli attaccanti di assumere il controllo remoto del sistema compromesso e utilizzare il dispositivo per ulteriori attività criminali.
La tecnica risulta particolarmente pericolosa perché sfrutta contemporaneamente due elementi di fiducia: l’aspetto familiare di servizi come Google e il fatto che sia la vittima stessa a eseguire il comando, aggirando così alcuni meccanismi di difesa tradizionali.
Come ridurre il rischio degli attacchi ClickFix
Cisco Talos raccomanda alle organizzazioni di monitorare le attività anomale legate ai servizi cloud e di controllare regolarmente componenti, estensioni e strumenti utilizzati nei browser e nei siti aziendali.
Resta fondamentale anche la consapevolezza degli utenti. Una regola semplice può evitare molte infezioni: un servizio legittimo non dovrebbe chiedere di copiare e avviare manualmente un comando sul proprio computer per dimostrare di non essere un robot.
L’utilizzo di un servizio conosciuto non garantisce quindi che la richiesta sia sicura. È sempre necessario verificare se l’azione proposta sia realmente coerente con il normale funzionamento della piattaforma.
Vi è mai capitato di vedere una verifica online che vi chiedeva di copiare o eseguire manualmente un comando sul computer?
zazoomtek
