Amatera
Un falso CAPTCHA, un comando copiato…. Ecco come i cybercriminali installano un ladro di password sul tuo PC.
Immagina di navigare su un sito che conosci, un blog o un negozio online. All’improvviso compare la classica finestra “Non sono un robot“. Fai clic, tutto sembra normale. Quello che non sai è che quel sito è stato compromesso e che quel finto CAPTCHA nasconde l’inizio di un’infezione.
I ricercatori dei Gen Threat Labs (la società dietro Avast, Norton e AVG) hanno scoperto una nuova campagna che sta diffondendo Amatera, uno dei ladri di password (infostealer) più attivi degli ultimi mesi, capace di rubare credenziali salvate nel browser, cookie di sessione e persino portafogli di criptovalute.
Come funziona il sito “trappola”
I criminali non creano siti falsi da zero compromettono siti web reali e già esistenti, inserendo del codice nascosto che mostra un CAPTCHA fasullo sopra la pagina originale. Il click innesca tutto quando la vittima clicca sulla casella “Non sono un robot“. Invece di verificare nulla, il sito copia automaticamente un comando dannoso negli appunti del computer (la clipboard) senza che l’utente se ne accorga.
Alla vittima viene chiesto di aprire la finestra “Esegui” di Windows e incollare quel comando. Questa tecnica, chiamata ClickFix, funziona perché fa leva su un gesto banale “incolla e premi invio” che la maggior parte delle persone compie senza sospettare nulla.
Il comando scarica un piccolo programma (chiamato dai ricercatori WordlistLoader, perché nasconde il codice dannoso dentro una lista di parole inglesi comuni, quasi fosse un testo innocuo) che a sua volta installa Amatera, il vero ladro di dati. Una volta dentro, Amatera si comporta come un ladro esperto: disattiva gli “allarmi” che l’antivirus userebbe per accorgersi di lui, si camuffa da processo innocuo e va a caccia di password, cookie di accesso ai siti e dati dei portafogli crypto salvati nel browser.
Perché funziona così bene
Non è la tecnologia a essere il punto debole, ma il comportamento umano. Un CAPTCHA sembra una procedura di sicurezza, non una minaccia ed è proprio questo a renderlo uno degli inganni più efficaci ancora oggi in circolazione, nonostante sia una tecnica ormai nota da anni.
Come usare Avast
Avast, oggi parte del gruppo Gen insieme a Norton e AVG, interviene su più livelli per bloccare questo tipo di attacco prima che possa fare danni con soluzione come Web Shield analizza in tempo reale i siti visitati, bloccando pagine dannose, script pericolosi e download non sicuri, anche su siti legittimi ma compromessi, come quelli usati in questa campagna.
Con la protezione anti-phishing, confronta ogni sito visitato con un database di minacce aggiornato costantemente grazie alla telemetria raccolta da centinaia di milioni di dispositivi Avast nel mondo, permettendo di individuare pagine pericolose anche nelle primissime ore di attività.
Grazie alla protezione degli appunti (Clipboard Protection) pensata proprio per contrastare tecniche come il ClickFix, aiuta a intercettare comandi dannosi copiati automaticamente nella clipboard, prima che l’utente li incolli ed esegua senza saperlo e con Real Site garantisce che l’utente raggiunga davvero il sito ufficiale digitato, proteggendo da manipolazioni del DNS e reindirizzamenti fraudolenti.
Anche con un buon antivirus attivo, un principio resta valido: nessun sito legittimo ti chiederà mai di copiare e incollare comandi nella finestra Esegui di Windows per superare un CAPTCHA. Se capita, è un segnale d’allarme da non ignorare
Clicca per i dettagli da Avast