Sandworm usa Clickfix per infettare dispositivi in Ucraina
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Il CERT ucraino avverte che il gruppo del GRU ha adottato la tecnica Clickfix, già impiegata da criminali finanziari, e l'ha collegata all'installazione del malware FreakyPoll.
Sandworm ha usato la tecnica Clickfix contro organizzazioni in Ucraina: il CERT ucraino segnala almeno una rete compromessa, un dispositivo infetto dal malware FreakyPoll e dieci siti web violati usati come esche1.
Clickfix nasce nel cybercrimine a scopo finanziario. Qui appare in un’operazione attribuita a Sandworm, unità del GRU. Lo schema descritto dal CERT è semplice e manuale: una pagina con CAPTCHA chiede di copiare un testo e incollarlo nel terminale. Quel testo contiene comandi o script che, una volta eseguiti, installano malware o esfiltrano dati dal dispositivo della vittima1.
L’avviso indica come bersaglio organizzazioni sensibili in Ucraina e colloca l’attività tra primavera ed estate. Il primo riscontro operativo è un dispositivo connesso trovato infetto da FreakyPoll, malware personalizzato associato al gruppo. L’indagine ha poi portato a dieci siti compromessi legati alla stessa operazione1.
La tecnica non è nuova nel crimine informatico. La novità è il suo riuso da parte di un’unità di intelligence militare. Secondo il CERT, l’attacco sfrutta l’azione dell’utente per aggirare difese e policy: la vittima esegue di propria mano il comando malevolo. Questo abbassa la soglia tecnica per l’attaccante e rende più difficile il rilevamento a valle1.
L’esca funziona perché sembra legittima. La pagina appare pulita, il CAPTCHA rassicura, la richiesta di copiare e incollare pare innocua. Il cuore della campagna è qui: spingere l’utente a incollare in terminale uno script preparato dagli attaccanti, che poi installa codice o sottrae dati1.
Se confermata su più casi, l’adozione di Clickfix da parte di Sandworm segnerebbe un ulteriore scambio di tattiche tra criminalità informatica e attori statali. Un segnale che amplia il raggio d’azione della tecnica e mette in discussione controlli costruiti solo su automatismi e reputazione1.
Cosa fare adesso. Evitare di copiare e incollare comandi da pagine web non verificate, anche quando compaiono CAPTCHA. Richiedere la revisione tra pari dei comandi prima dell’esecuzione su sistemi sensibili. Limitare i privilegi degli account usati per operazioni in terminale e tenere traccia delle esecuzioni con logging centralizzato. Formare il personale su esche “manuali” che chiedono azioni dirette dell’utente. Queste misure non richiedono nuovi strumenti, ma riducono la superficie di attacco che Clickfix sfrutta.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.