Meer dan 250 front-end domeinen die onderdeel zijn van een macOS ClickFix-operatie maken gebruik van browserfingerprinting om te bepalen welke bezoekers een malwarelokker te zien krijgen. Deze techniek, gevolgd door Microsoft Threat Intelligence, zorgt ervoor dat de kwaadaardige pagina’s verborgen blijven voor crawlers en sandbox-omgevingen, terwijl geselecteerde Mac-gebruikers een nepsoftware-download wordt aangeboden.

De serverzijde controleert diverse browserkenmerken, zoals het platform (dat op een echte Mac ‘MacIntel’ moet aangeven), scherm- en venstergrootte, WebGL-signalen, tijdzone, iframe-status en touch-ondersteuning. Daarnaast zijn er specifieke controles om beveiligingsonderzoekers te detecteren, waaronder een teller die bijhoudt of de ontwikkelaarconsole openstaat en een test voor video-codec-ondersteuning die stealth browsers kan ontmaskeren. Op basis van deze fingerprint stuurt de server een aangepaste pagina terug, variërend van een lege pagina of een nep browserextensie tot een GitHub-achtige downloadpagina met een vervalst ‘Verified Publisher’-label.

De campagne verspreidt onder andere de MacSync en Atomic Stealer (AMOS) malware. Na het volgen van de instructies op de nep-pagina moet het slachtoffer een geobfusceerd commando in de Terminal plakken en uitvoeren. Dit commando haalt vervolgens scripts op die een infostealer activeren, gericht op het stelen van inloggegevens, browserdata, authenticatiestores, cryptowallets en gevoelige bestanden. Microsoft heeft geen details vrijgegeven over het aantal slachtoffers, de getroffen sectoren of de identiteit van de aanvallers.

De infrastructuur is gedurende weken gemonitord en bleek in die periode te zijn aangepast. Eerder stonden de ClickFix-instructies en het geobfusceerde shell-commando nog direct in de HTML, waardoor statische scanners ze konden detecteren. De huidige gate gebruikt ongeveer 2,5 KB JavaScript om de fingerprinting uit te voeren en de respons te bepalen. Microsoft adviseert gebruikers om nooit instructies van websites, CAPTCHA’s of chats te volgen die vragen om tekst in de Terminal te plakken en uit te voeren.

De domeinen combineren vaak het woord ‘file’ met andere woorden, zoals filecopperbasket[.]sbs en applefilevault[.]com. Microsoft benadrukt dat het patroon van domeinnamen slechts een aanwijzing is en dat de combinatie van wegwerpdomeinen, gedeeld infrastructuurgedrag en de fingerprinting-gate een sterkere indicator vormt. Verdedigers wordt aangeraden te letten op browseractiviteit gevolgd door ongebruikelijke Terminal-commando’s, zoals curl-pijplijnen naar zsh, Base64-decodering, osascript en het aanmaken van archieven met daaropvolgende uitgaande HTTP POST-verzoeken.

Omdat de kwaadaardige pagina’s alleen verschijnen voor geselecteerde bezoekers, is het effectiever om te zoeken naar de fingerprinting-gate dan naar de malware zelf. Dit kan door te letten op zelfsubmitterende fingerprintformulieren, verborgen fingerprintvelden en het mode:"php" JavaScript-artifact, en deze infrastructuur te blokkeren.