Google sta distribuendo una difesa di Chrome pensata per interrompere gli attacchi ClickFix prima che gli utenti eseguano comandi dannosi al di fuori del browser. La misura riguarda solo chi ha attivato Enhanced Protection, secondo l'annuncio di Google come riportato da The Hacker News.
ClickFix si basa sulla persuasione più che su un normale download dal browser. Una pagina di phishing mostra un finto passaggio di verifica o un errore inventato, poi chiede alla vittima di copiare un comando nella finestra Esegui di Windows o nel Terminale di macOS. L'esecuzione può avviare un'infezione in più fasi, che installa malware per il furto di informazioni o un trojan di accesso remoto.
Chrome analizza i comandi sospetti copiati dalle pagine web
Le vittime possono essere indirizzate alle pagine ClickFix tramite pubblicità malevole o reindirizzamenti da siti legittimi compromessi. Le pagine spesso imitano i controlli di Cloudflare o di Google reCAPTCHA e affermano che, per proseguire, è necessario incollare un comando fornito.
Le istruzioni copiate possono richiamare utilità integrate come PowerShell o cmd.exe per scaricare payload delle fasi successive. Poiché questa attività avviene tramite il sistema operativo e non attraverso il normale processo di download di Chrome, Google afferma che può eludere i controlli consolidati di Safe Browsing sui download.
Il nuovo approccio di Chrome anticipa il rilevamento nella sequenza. Quando un utente protetto da Enhanced Protection copia un possibile script ClickFix, Google afferma che Chrome rimuove le informazioni personali dal contenuto degli appunti e invia il comando rimanente a Safe Browsing per la valutazione. Se il servizio lo classifica come pericoloso, il browser mostra un avviso prima che l'utente lo esegua.
La protezione non si applica agli utenti Chrome che non hanno attivato Enhanced Protection. Inoltre interviene nella fase di copia e incolla e non rende sicuri i comandi da eseguire. Gli utenti dovrebbero considerare qualsiasi istruzione di un sito che chiede di aprire la finestra Esegui o il Terminale e di incollare codice sconosciuto come un possibile tentativo di compromissione.
La rilevazione delle truffe si estende oltre gli script copiati
Google aggiunge anche due classificazioni di Safe Browsing per gli utenti di Enhanced Protection:
- Siti sospetti, che mostrano caratteristiche ingannevoli associate a pagine dannose note.
- Siti pericolosi, noti per essere dannosi e che presentano un alto rischio di danno.
L'azienda sta estendendo il lavoro sul proprio modello linguistico di grandi dimensioni eseguito sul dispositivo per individuare truffe di assistenza tecnica, falsi avvisi antivirus e finti messaggi di aggiornamento del browser. Secondo Google, il modello esamina il marchio che una pagina dice di rappresentare, il suo scopo apparente e una probabilità calcolata che si tratti di una truffa.
Secondo l'azienda, il testo della pagina viene analizzato solo dopo che un sito mostra segnali di truffa con alta affidabilità. Google afferma inoltre che i contenuti inviati dal dispositivo vengono elaborati in modo effimero, senza essere registrati, conservati o usati per addestrare i propri modelli. Si tratta di descrizioni fornite da Google sul funzionamento del sistema e sulla gestione dei dati.
Safari 27 contrasta la risoluzione persistente dell'identità
Apple introduce una protezione separata del browser nelle versioni 27 di iOS, iPadOS, macOS e visionOS. Il suo obiettivo è la risoluzione dell'identità, una pratica di tracciamento in cui un terzo riceve un indirizzo email inserito durante un accesso o una registrazione a una newsletter e lo associa a un identificativo persistente.
Il team WebKit di Apple afferma che il fornitore di tracciamento può restituire al sito un ID opaco, che viene memorizzato per una successiva profilazione o per la pubblicità su più siti. Il terzo può usare l'indirizzo email per costruire un grafo di identità con informazioni aggiuntive, che potenzialmente includono nome, indirizzo di residenza, numero di telefono e indirizzo IP.
Secondo Apple, disconnettersi o annullare l'iscrizione non rimuove da sole né l'identificativo né l'indirizzo email conservati dal terzo. Bloccare i cookie cross-site non basta quindi a fermare questa forma di tracciamento.
La contromisura di Safari blocca a livello di dominio le connessioni di rete verso l'infrastruttura di risoluzione dell'identità incorporata. Apple afferma che così la pagina non può trasmettere l'indirizzo email al fornitore di tracciamento in primo luogo.
Per gli utenti Chrome, la distinzione pratica immediata riguarda la configurazione: l'analisi dei comandi ClickFix viene erogata tramite Enhanced Protection. Anche con questa impostazione attiva, le istruzioni inattese che chiedono di incollare comandi negli strumenti del sistema operativo dovrebbero essere abbandonate, non eseguite.
