ClickFix è stato il principale metodo di accesso iniziale con il 47%

ClickFix, una tecnica che chiede ai visitatori di un sito web di incollare un comando nel terminale, è stato il metodo di accesso iniziale più comune, ovvero il primo modo in cui un attaccante è entrato nei sistemi di una vittima, osservato dal team di Microsoft lo scorso anno, rappresentando il 47% degli attacchi nelle sue notifiche. Questo singolo dato inquadra una scoperta più ampia di Bitdefender: gli attaccanti non cercano di essere più ingegnosi, cercano di essere più ripetibili.

Una pagina web dice al visitatore di dimostrare di non essere un robot. Mentre la persona legge le istruzioni, il sito colloca silenziosamente un comando negli appunti. Poi la guida ad aprire un terminale, ovvero la finestra di comando testuale integrata in ogni sistema operativo, e a incollare quel comando. La tecnica si chiama ClickFix. Poiché nulla arriva come allegato, non c'è alcun file da scansionare. Poiché non viene sfruttata alcuna vulnerabilità, non c'è alcuna patch da installare. L'attacco dipende da una persona che segue le istruzioni, non dal software del bersaglio.

Ciò che accade dopo è altrettanto ordinario. Bitdefender ha analizzato 700.000 incidenti di sicurezza e ha scoperto che l'84% dei casi ad alta gravità coinvolgeva binari, ovvero programmi eseguibili, già presenti sulla macchina. Sono gli stessi strumenti amministrativi che un team IT usa ogni giorno: motori di scripting, utilità di gestione remota, strumenti di archiviazione e programmi di sistema integrati. Non è stato necessario installare nulla di malevolo, perché l'attaccante ha semplicemente usato ciò che era già presente. I team di sicurezza chiamano questo living off the land.

L'ultimo Data Breach Investigations Report di Verizon punta nella stessa direzione. Lo sfruttamento delle vulnerabilità è diventato 'il vettore di accesso iniziale più prominente' in quel set di dati, raggiungendo il 31% dei casi, in aumento dal 20% dell'anno precedente. Si tratta di un aumento del 55% in un solo anno nell'unica categoria che premia la scansione di molti bersagli rispetto allo sviluppo di un singolo attacco intelligente. I dispositivi perimetrali, ovvero router, firewall e altre apparecchiature raggiungibili da Internet, sono popolari non perché siano interessanti, ma perché la procedura è breve. Un attaccante osserva nuovi identificatori CVE, che sono numeri di catalogo pubblici per vulnerabilità di sicurezza note, nei dispositivi esposti a Internet. Filtra le vulnerabilità che consentono l'esecuzione di codice in remoto, ovvero che qualcuno possa eseguire comandi sul dispositivo dall'esterno, e che non richiedono autenticazione, ovvero nessun login. Poi aspetta. Di solito qualcuno pubblica una proof of concept funzionante, una dimostrazione che la vulnerabilità può essere sfruttata, su GitHub entro pochi giorni. Quando appare, l'attaccante scansiona Internet su larga scala e prende tutto ciò che non è ancora stato corretto.

Nessuno in quella catena sviluppa nulla. L'exploit arriva gratuitamente da un ricercatore, su un repository pubblico, secondo un programma stabilito da qualcun altro. L'unica capacità richiesta è la capacità di eseguire il codice di altri rapidamente e in volume. L'autore paragona questo a un produttore di farmaci generici: non scopre farmaci, aspetta che la ricerca di qualcun altro diventi pubblica e poi produce una formula nota in volume. Un gruppo di cybercriminali che segue questo playbook compete sulla velocità e sul costo, non sull'invenzione.

La classifica del ransomware, l'elenco dei gruppi criminali che pubblicano dati rubati per costringere le vittime a pagare, mostra la stessa preferenza. Per più di un anno, Qilin ha mantenuto la posizione di vertice nelle classifiche dei siti di leak ransomware, rivendicando circa 1.600 vittime in quel periodo, di solito più di cento al mese. A giugno è stato spodestato da The Gentlemen, con 121 vittime rivendicate contro le 80 di Qilin. Questi sono numeri che i gruppi pubblicano su se stessi, quindi sono rivendicazioni piuttosto che numeri verificati, ma i due si sono scambiati il primo posto. Ciò su cui competono è il throughput, non il risultato tecnico. Il dettaglio più rivelatore è da dove è venuto lo sfidante. The Gentlemen si è ramificato da un ex affiliato di Qilin, e come ha detto il threat debrief di Bitdefender, hanno dimostrato quanto i playbook ransomware di successo vengano riciclati e migliorati. La procedura è uscita da un'organizzazione ed è entrata in un'altra e ha funzionato altrettanto bene.

ClickFix è un playbook per entrare. Non c'è alcun payload da ricostruire quando viene rilevato, perché non c'è payload. Non c'è alcun exploit da risviluppare quando un fornitore rilascia una patch, perché non viene utilizzata alcuna vulnerabilità. Quando un'esca smette di funzionare, l'attaccante riscrive semplicemente il testo su una pagina web. La tecnica degrada con grazia, che è esattamente ciò che si vuole da qualcosa che si intende eseguire migliaia di volte. Funziona anche in modo identico ovunque perché non dipende affatto dalla tecnologia del bersaglio. Dipende dalla volontà di una persona di seguire le istruzioni, e questo è l'unico componente presente in ogni ambiente, nella stessa versione, senza patch disponibili.

Il living off the land è la stessa idea portata oltre. Invece di portare i propri strumenti, gli attaccanti usano ciò che è già installato: i motori di scripting, le utilità di gestione remota, gli strumenti di archiviazione e i binari amministrativi che vengono forniti con il sistema operativo. Questi strumenti sono familiari, presenti in ogni ambiente e identici in ogni ambiente. Un operatore che impara la sequenza una volta può eseguirla sulla prossima vittima senza adattamenti. Il traffico di comando e controllo viene instradato attraverso servizi cloud che l'organizzazione già si fida e autorizza. Il fatto che questi strumenti siano anche difficili da distinguere dall'amministrazione legittima è un bonus, ma non è il motivo principale per cui sono stati scelti. È, tuttavia, la parte che i difensori trovano più difficile: quando un attaccante non introduce nulla, non c'è nulla da trovare.

L'economia corrisponde alla previsione. Il rapporto di Verizon mostra il ransomware crescere di nuovo, al 48% di tutte le violazioni, in aumento dal 44% dell'anno precedente. Nello stesso periodo, il denaro si è mosso nella direzione opposta: il 69% delle vittime di ransomware non ha pagato, e il riscatto mediano pagato è sceso a 139.875 dollari da 150.000. Il monitoraggio dei siti di leak ransomware di Bitdefender ha contato 704 organizzazioni rivendicate come vittime solo a giugno 2026. Più vittime, meno denaro. Questo è un calo del ricavo per tentativo, e la risposta razionale è rendere ogni tentativo più economico e più ripetibile, e farne di più.

Qui l'argomento dell'IA incontra l'aritmetica. L'approccio del playbook costa all'attaccante quasi nulla per tentativo: la scansione è economica, l'exploit era gratuito e gli strumenti erano già installati sulla macchina della vittima. Mettere un modello in quel ciclo aggiunge un costo reale a ogni tentativo, in un business che ha speso anni per portare quel costo verso zero. Lo aggiunge anche nel posto sbagliato. Questa è un'operazione di volume rivolta a chiunque sia esposto, non a un piccolo numero di grandi organizzazioni dove un investimento maggiore per bersaglio potrebbe essere giustificato. Contro poche vittime di alto valore, pagare per l'intelligence potrebbe ripagare. Contro un elenco di diverse migliaia di piccole imprese, no.

C'è anche un'obiezione strutturale. Un agente autonomo, ovvero un programma che agisce da solo e improvvisa, esplora un ambiente e trova un percorso particolare per quell'ambiente. Eseguito contro la prossima azienda, fa qualcosa di diverso. Questo è l'opposto di un playbook. Il ransomware opera come modello di affiliazione, un franchising in cui una procedura scritta una volta produce lo stesso risultato in mani sconosciute. La varianza è il nemico di quel modello. Un uso razionale dell'IA è già probabilmente in corso: usare un modello offline per aiutare a sviluppare il playbook, ricercare una tecnica, scrivere gli strumenti, perfezionare l'esca, e poi eseguire la procedura risultante in modo deterministico, come è sempre stato fatto. Questa è l'IA come autrice, non come esecutrice. Ciò che non segue il denaro è un modello live che improvvisa la sua strada verso ogni vittima. La stessa logica si applica all'affermazione che l'IA troverà vulnerabilità nuove. Gli attaccanti già rifiutano di investire lì, perché aspettare una proof of concept gratuita non costa nulla.

Niente di tutto questo vale in modo permanente. Gli attaccanti hanno adottato il ransomware-as-a-service e la doppia estorsione nel momento in cui avevano senso commerciale, e adotteranno l'autonomia alle stesse condizioni. Il segnale da osservare non è un annuncio di capacità, ma il punto in cui eseguire un modello contro una vittima diventa più economico che eseguire il playbook. Il costo è l'unica soglia a cui questo business ha mai risposto.

La conseguenza incoraggiante è che un attacco standardizzato è un problema di difesa standardizzata. Non ti stai difendendo da una creatività illimitata. Stai chiudendo un piccolo numero di porte da cui dipende il playbook, e il playbook non può permettersi di essere riprogettato per ogni vittima. Applica le patch in modo intelligente: non puoi correggere tutto rapidamente, e non devi. Il filtro dell'attaccante è pubblico: esposto a Internet, esecuzione di codice in remoto, nessuna autenticazione richiesta. Applica lo stesso filtro ai tuoi sistemi e hai la tua lista. La finestra è il divario tra la pubblicazione dell'avviso e la comparsa della prima proof of concept funzionante su GitHub, spesso solo pochi giorni. Applica le patch dentro quella finestra e la procedura non ti raggiungerà mai. Riduci ciò che può essere eseguito: il controllo delle applicazioni e la politica di esecuzione degli script interrompono la catena ClickFix nel punto in cui un comando incollato diventa un processo in esecuzione. Delimita gli strumenti integrati: la maggior parte degli utenti non ha alcun bisogno legittimo delle utilità di gestione remota e scripting che compaiono nell'84%, e sebbene non possano essere rimosse, chi può invocarle è una decisione che spetta a te. Tratta l'identità come il vero perimetro: credenziali condivise, account di servizio troppo ampi e chiavi amministrative ovunque sono ciò che converte una singola macchina compromessa in un incidente. Guarda gli eventi insieme, non uno alla volta: uno strumento di gestione remota in esecuzione è normale, quell'account che ha effettuato l'accesso è normale, quella macchina che parla con l'archiviazione cloud è normale, ma quelle tre cose che accadono in quell'ordine, su quell'host, a quell'ora non lo è. E assicurati che qualcuno stia effettivamente guardando. Nelle indagini condotte dai team di incident response e managed detection and response (MDR) di Bitdefender, emergono ripetutamente gli stessi due risultati: o non era stato distribuito alcun endpoint detection, ovvero nessun software sui singoli computer per individuare comportamenti sospetti, oppure era stato distribuito e nessuno lo monitorava. Una terza versione sembra un successo dall'esterno: gli strumenti funzionano, l'allarme viene sollevato e non raggiunge nessuno con l'autorità di fermare ciò che sta accadendo. Il rilevamento che nessuno guarda non è rilevamento, è un file di log che leggerai dopo.

Per i lettori che desiderano aiuto per trasformare questi controlli in pratica di routine, AEU-I (https://aeu-i.com) offre servizi IT e di consulenza orientati alla sicurezza.

Gli attaccanti non stanno cercando una Lamborghini. Vogliono una Toyota, qualcosa che parta ogni mattina, che chiunque nella squadra possa guidare, che possa essere assistita ovunque e che faccia lo stesso lavoro domani come oggi. Questo è ciò che è ClickFix. Questo è ciò che è il living off the land. Nessuno dei due è impressionante, ed entrambi sono affidabili, che è l'unica specifica che conta quando lo fai diecimila volte. Qualunque cosa gli attaccanti facciano alla fine con l'IA, l'adotteranno solo quando diventerà più economica di ciò che già funziona. Fino ad allora, le porte da cui stanno effettivamente passando sono quelle che le organizzazioni possono chiudere.