ClickFix: il captcha falso che chiede di incollare un comando e ruba le password

Entri in un sito e compare un riquadro che sembra un captcha. Dice che bisogna verificare che sei umano e ti dà tre passaggi: premi il tasto Windows e la R, premi Ctrl e V, premi Invio. Sembra un controllo come tanti altri su Internet. Non lo è. Hai appena eseguito sul tuo computer un comando che qualcuno ti ha copiato negli appunti.

È l'attacco noto come ClickFix, ed è diventato molto frequente nei siti compromessi, negozi online compresi.

Come funziona

1. Il sito è compromesso. Qualcuno ha iniettato un JavaScript in un template, in un modulo o in un file del tema.
2. Lo script mostra un livello a schermo intero con l'aspetto di un captcha o di un errore di verifica, a volte imitando lo stile di servizi noti.
3. Quando si preme il pulsante, copia un comando negli appunti senza che l'utente lo veda. Di solito è un comando PowerShell o di un altro strumento di sistema che scarica ed esegue un programma.
4. Le istruzioni fanno sì che sia l'utente stesso a eseguirlo nella finestra Esegui di Windows. Alcune varianti chiedono di aprire il Terminale su Mac.
5. Il programma scaricato si installa, di solito un infostealer.

Cosa cerca

L'obiettivo non è il server del negozio: è il computer di chi lo visita. Ciò che si installa di solito serve a rubare:

• Password salvate nel browser.
• Cookie di sessione, che permettono di entrare negli account senza password e a volte aggirando l'autenticazione a due fattori.
• Profili dei client FTP con le loro password.
• Wallet di criptovalute e dati dei moduli compilati automaticamente.

Ora pensa a chi visita il tuo negozio più di chiunque altro: tu e il tuo team. Se il captcha falso compare nel back office o nel negozio mentre lo gestisci, vengono rubate le credenziali del pannello dell'hosting, dell'FTP, dell'email aziendale e del back office stesso. È un modo molto efficace per trasformare una piccola infezione in un controllo totale, e spiega alcune compromissioni via FTP che non lasciano traccia nei log web.

Per i tuoi clienti il danno è diverso: vengono derubati di dati sul loro computer attraverso il tuo sito. Oltre al problema per loro, è un problema di reputazione e, a seconda del caso, di obblighi di notifica.

Come riconoscerlo

Come visitatore, c'è una regola semplice che conviene far conoscere a tutto il team:

Nessuna verifica legittima ti chiede di aprire la finestra Esegui, il terminale o PowerShell e di incollarci qualcosa. Né Google, né Cloudflare, né alcuna banca. Se un captcha ti dà istruzioni da tastiera, è un attacco. Chiudi la scheda.

Altri segnali:

• Il presunto captcha compare su un sito dove prima non ce n'era nessuno.
• Occupa tutto lo schermo e non lascia vedere il sito sottostante.
• Parla di errori di «verifica DNS», «aggiornamento del browser» o simili.
• Qualcosa viene copiato negli appunti senza che tu abbia premuto alcun pulsante di copia.

Se qualcuno del tuo team l'ha già eseguito: scollega quel computer dalla rete, non usarlo per accedere a nessun servizio e, da un altro computer pulito, cambia le password di tutto ciò che vi era salvato e chiudi le sessioni aperte. Dopo, il computer colpito va ripulito da un professionista o reinstallato.

Come sapere se il tuo negozio lo sta servendo

Lo script può mostrarsi solo a una parte dei visitatori: solo su Windows, solo alla prima visita, solo da certi paesi o solo a chi non è identificato come amministratore. Per questo non basta aprire il negozio e non vedere nulla.

• Controlla i file JavaScript del tema e dei moduli cercando modifiche recenti, soprattutto righe molto lunghe aggiunte all'inizio o alla fine.
• Controlla i template del tema nel caso sia stato aggiunto un tag <script> che carica qualcosa dall'esterno.
• Guarda la configurazione dei moduli che permettono di inserire HTML (blocchi personalizzati, campi di codice nell'intestazione), perché l'iniezione può trovarsi nel database e non in un file.
• Prova da un browser pulito, in finestra privata e senza sessione, e da uno smartphone.
• Ascolta i tuoi clienti. Una segnalazione del tipo «mi è comparso un captcha strano» va presa sul serio.

Se lo trovi, ricorda che lo script è la conseguenza, non la causa. Qualcuno ha avuto accesso per metterlo lì: bisogna cercare la porta da cui è entrato, come in qualsiasi altra infezione, e chiuderla. Mantenere PrestaShop e i moduli aggiornati riduce molto le vie da cui qualcuno può iniettare uno script del genere.

Tieni anche presente che questi script cambiano spesso: lo stesso loader chiede ogni volta il contenuto a un server esterno, e ciò che oggi è un captcha falso domani può essere un avviso di aggiornamento del browser o un modulo di pagamento. Per questo non basta togliere il riquadro che hai visto: bisogna togliere il loader e scoprire come è arrivato ai tuoi file o al tuo database.

Cosa dire al team

• Mai incollare nulla in Esegui, in PowerShell o nel terminale perché lo chiede un sito.
• Non salvare le password dell'FTP né del pannello nel browser o nel client FTP.
• Usare l'autenticazione a due fattori nel back office, nel pannello dell'hosting e nell'email.
• Segnalare subito qualsiasi cosa strana nel negozio, anche se sembra poca cosa.

Come risolverlo in PrestaShop

RKR Security Alert include una sentinella che osserva la pagina già composta nel browser, dove compaiono le iniezioni che non lasciano traccia sul disco. Contro ClickFix sorveglia la scrittura negli appunti: avvisa quando un sito vi scrive senza che l'utente abbia prima premuto un pulsante di copia, e ogni volta che il contenuto copiato è un comando di sistema, oltre a rilevare il livello a schermo intero che chiede di aprire la finestra Esegui. È testato per non scattare con i banner dei cookie, le finestre della newsletter né con il reCAPTCHA legittimo di Google. Sul server, il suo scanner cerca JavaScript iniettato e sorveglia le modifiche a file e template, così trovi anche la strada da cui è entrato lo script.