Post falsi di risoluzione dei problemi macOS installano rubatori di wallet cripto
- Gli attaccanti pubblicano guide di troubleshooting macOS false per indurre gli utenti a eseguire comali Terminal dannosi che rubano criptovalute.
- La campagna è attiva dalla fine del 2025 e bypassa Gatekeeper perché sono le vittime stesse ad eseguire i comandi malevoli.
- Apple ha aggiunto una protezione in macOS 26.4 che impedisce l'incollaggio di comandi contrassegnati come potenzialmente malevoli nel Terminale.
Gli attaccanti stanno pubblicando guide di risoluzione dei problemi macOS false su Medium, Craft e Squarespace. L'obiettivo è far eseguire agli utenti comandi Terminal che installano malware che prende di mira i dati iCloud, le password salvate e i wallet cripto.
Il team di ricerca sulla sicurezza di Microsoft Defender ha pubblicato i risultati. La campagna è in corso dalla fine del 2025. Si approfitta degli utenti Mac che cercano aiuto per problemi comuni come la liberazione di spazio su disco o la risoluzione di errori di sistema.
Invece di offrire una soluzione legittima, le pagine dicono agli utenti di copiare un comando e incollarlo nel Terminale. Quel comando scarica ed esegue il malware.
I post di blog fuorvianti dicono ai lettori di copiare un comando dannoso e incollarlo nel Terminale. Questo comando scarica il malware ed lo esegue sul computer della vittima.
La tecnica è chiamata ClickFix. È ingegneria sociale che sposta la responsabilità dell'avvio del payload sulla vittima. Poiché l'utente esegue il comando direttamente nel Terminale, il Gatekeeper di macOS non ispeziona mai il payload.
Gatekeeper controlla normalmente la firma del codice e la notarizzazione sui bundle di app aperti tramite Finder, ma questo metodo lo aggira completamente.
Gli attaccanti hanno lanciato tre campagne con lo stesso obiettivo
Microsoft ha individuato tre installer di campagne:
- Un loader.
- Uno script.
- Un helper.
Tutti e tre raccolgono dati sensibili, stabiliscono la persistenza ed esfiltrano le informazioni rubate ai server degli attaccanti.
Le famiglie di malware includono AMOS, Macsync e SHub Stealer. Se uno qualsiasi dei tre malware è stato installato, prende di mira i dati degli account iCloud e Telegram. Poi cerca documenti privati e foto inferiori a 2 MB. Ed estrae le chiavi dei wallet cripto da Exodus, Ledger e Trezor, e ruba i nomi utente e le password salvati da Chrome e Firefox.
Dopo l'installazione, il malware visualizza una finestra di dialogo falsa e chiede la password di sistema per installare un «strumento di assistenza». Se l'utente inserisce la password, l'attaccante ottiene l'accesso completo ai file e alle impostazioni di sistema.
In alcuni casi, i ricercatori hanno trovato che gli attaccanti hanno eliminato le app legittime dei wallet cripto e le hanno sostituite con versioni trojanizzate progettate per monitorare le transazioni e rubare i fondi.
Trezor Suite, Ledger Wallet ed Exodus erano alcune delle app principali prese di mira in questo attacco.
La campagna del loader include anche un interruttore di arresto (kill switch). Il malware smette di eseguire se rileva una tastiera russa.
I ricercatori della sicurezza hanno osservato gli attaccanti utilizzare curl, osascript e altre utilità native di macOS per eseguire i payload direttamente in memoria. Questo è un approccio fileless che rende più difficile il rilevamento per gli strumenti antivirus standard.
Gli attaccanti prendono di mira gli sviluppatori cripto
I ricercatori della sicurezza di ANY[.]RUN hanno scoperto un'operazione del Gruppo Lazarus chiamata «Mach-O Man». Gli hacker hanno utilizzato la stessa tecnica ClickFix attraverso inviti di riunione falsi. Hanno preso di mira macchine fintech e cripto dove macOS è comune.
Cryptopolitan ha pubblicato sulla campagna PromptMink.
Un pacchetto npm dannoso è stato inserito in un progetto di trading cripto dal gruppo nordcoreano Famous Chollima attraverso una modifica generata dall'IA. Utilizzando un approccio a due livelli di pacchetto, il malware ha ottenuto l'accesso ai dati del wallet e ai segreti di sistema.
Entrambe le campagne mostrano che i dati dei wallet cripto sono preziosi. Gli attaccanti stanno adattando i loro metodi di consegna dai post di blog falsi ai compromessi della catena di approvvigionamento assistiti dall'IA per raggiungerli.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Cos'è ClickFix e come funziona su macOS?
ClickFix è un attacco di ingegneria sociale che induce gli utenti a copiare e incollare un comando nel Terminale, scaricando ed eseguendo malware.
Quali portafogli crypto sono presi di mira da questa campagna di malware?
Exodus, Ledger e Trezor come obiettivi primari. In alcuni casi, gli attaccanti hanno disinstallato portafogli genuini e li hanno sostituiti con app troianizzate.
Apple ha rilasciato una correzione per l'attacco ClickFix al Terminale?
Apple ha aggiunto una protezione in macOS 26.4 che impedisce l'incollaggio di comandi contrassegnati come potenzialmente malevoli nel Terminale. Viene visualizzato un avviso che recita "Possibile malware, Incolla bloccato."
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
