Кампания ClickFix для macOS спряталась за сетью из более чем 250 внешних доменов. Microsoft Threat Intelligence несколько недель наблюдала за инфраструктурой и обнаружила серверный фильтр, который решает, кому показывать приманку. Он отсеивает поисковых роботов, автоматические сканеры, песочницы, виртуальные машины, эмуляторы, специалистов по безопасности и посетителей из неподходящих регионов либо контекстов. Прошедший проверку пользователь Mac видит поддельную страницу загрузки программы, остальные могут получить пустой экран или вполне безобидный сайт. В этом кластере распространялись инфостилеры MacSync и Atomic Stealer, также известный как AMOS. Изученная Microsoft цепочка заражения заканчивалась установкой AMOS, но сопоставить каждый домен с конкретным вредоносным ПО исследователям не удалось.
Приманка оформлена под GitHub. На странице размещены кнопка «Скачать для macOS» и поддельный знак «Проверенный издатель», после чего пользователю предлагают скопировать замаскированную команду, вставить её в Terminal и запустить. Автоматического заражения здесь нет: без ручного выполнения команды атака не срабатывает. Расчёт сделан на доверие к знакомому оформлению и на готовность человека исполнить непонятную строку по инструкции с сайта.
После запуска команда обращается к адресу с путём формата /curl/<id>, получает дополнительные сценарии и в итоге запускает инфостилер. AMOS и MacSync охотятся за учётными данными, содержимым браузеров, хранилищами аутентификации, криптовалютными кошельками и конфиденциальными файлами. Такая доставка продолжает тенденцию, которую Microsoft описала в мае: операторы вредоносных кампаний для macOS всё чаще заставляют жертву загружать удалённые сценарии через Terminal. Раньше для той же задачи чаще предлагался образ диска, который пользователь устанавливал вручную.
В анализе, опубликованном 5 августа, Microsoft описала перемены, замеченные за несколько недель наблюдения. В ранней версии страниц инструкции ClickFix, логика работы с буфером обмена, обфусцированная shell-команда и закодированный адрес промежуточного сервера находились прямо в HTML. Статический сканер мог извлечь эти элементы, даже не открывая страницу как обычный пользователь. Затем операторы вынесли решение на сервер: браузер сначала собирает сведения об устройстве, отправляет их, и лишь потом получает выбранное для него содержимое. Сама уловка почти не изменилась, зато автоматический анализ стал заметно менее надёжным.
Для проверки используется примерно 2,5 КБ JavaScript. Код читает свойства navigator, включая строку платформы: от настоящего Mac ожидается значение MacIntel. Затем измеряются разрешение экрана и размеры окна браузера, запрашиваются графические сведения WebGL. Сочетание этих признаков помогает распознавать виртуальные машины, эмуляторы и синтетические браузерные среды, у которых конфигурация выглядит правдоподобно лишь на первый взгляд.
Два теста рассчитаны именно на аналитиков. Первый повышает счётчик, когда открыта консоль разработчика. Второй вызывает canPlayType("video/mp4"). Обычная проверка поддержки видеокодека превращена в ловушку для скрытных браузеров, которые через JavaScript подделывают сведения о доступных форматах. Собранный отпечаток получает метку mode:"php" и автоматически отправляется серверу; посетителю не требуется нажимать кнопку или заполнять форму.
Ответ подбирается заново для каждого запроса. Робот, песочница, аналитик или посетитель из нежелательного региона может увидеть пустую страницу, фальшивый сайт браузерного расширения, посторонний коммерческий ресурс либо другую правдоподобную заглушку. Запрос, похожий на настоящий Mac в подходящем окружении, получает страницу под GitHub с кнопкой «Скачать для macOS», знаком «Проверенный издатель» и командой для Terminal. Поэтому один и тот же URL при двух посещениях способен показать совершенно разные сайты.
Microsoft Security Research и старший исследователь безопасности Microsoft Сринивасан Говиндараджан сформулировали проблему прямо: «Внешне безобидный или похожий на настоящий ответ не означает, что домен безопасен». Однократная проверка ссылки тут мало что доказывает. Если сканер получил нейтральную страницу, это может означать лишь то, что сервер распознал неподходящий браузер. Статический обход и обычная сверка URL пропускают приманку, поскольку вредоносное содержимое физически не возвращается подозрительному клиенту.
Среди подтверждённых адресов встречаются filecopperbasket[.]sbs и applefilevault[.]com. Многие из более чем 250 доменов соединяют слово file со словарными словами, но Microsoft считает такой шаблон лишь поводом для проверки, а не доказательством атаки. Надёжнее искать сочетание признаков: одноразовые имена, одинаковое поведение серверов, самоподтверждающиеся формы отпечатка, скрытые поля с данными браузера, метку mode:"php", общую промежуточную инфраструктуру и запросы к путям /curl/. По одному совпадению легко получить ложное срабатывание.
Защитным командам полезнее отслеживать сам фильтр, чем бесконечно пополнять списки доменов. В охоту стоит включить автоматически отправляемые формы, скрытые поля с отпечатками, совместное использование проверок платформы, размеров экрана и окна, WebGL, открытой консоли разработчика и canPlayType("video/mp4"). Microsoft советует блокировать общую промежуточную инфраструктуру и как минимум контролировать обращения к /curl/<id>. Внешний адрес злоумышленники заменят за несколько минут, тогда как логика фильтра и серверы доставки обычно живут дольше.
Apple добавила дополнительные барьеры в macOS 26.4, выпущенной 24 марта 2026 года, а 3 августа подробно описала соответствующие механизмы. Terminal показывает запрос подтверждения при совпадении всех заданных условий: пользователь не открывал Terminal более 30 дней, на компьютере нет распространённых инструментов разработчика, а вставляемая команда пришла из браузера или приложения для обмена сообщениями. Это даёт неопытному владельцу Mac ещё одну паузу перед запуском. Отдельно XProtect умеет прослеживать команды, вставленные в любой эмулятор терминала, изучать порождённое дерево процессов и связанные сетевые артефакты, а затем блокировать активность, связанную с известным вредоносным ПО.
Microsoft не раскрыла число жертв, общий размах операции, перечень затронутых отраслей и личность операторов. Полной таблицы соответствия доменов полезным нагрузкам тоже нет. Известны устройство инфраструктуры, механизм выбора страниц и цепочка с AMOS. Браузерный отпечаток помогает скрыть приманку от машинного анализа, но не отменяет слабое место схемы: пользователь по-прежнему должен собственноручно скопировать, вставить и выполнить команду. Отказ запускать полученную с сайта строку в Terminal обрывает эту цепочку до загрузки MacSync или Atomic Stealer.
Изображение носит иллюстративный характер
Приманка оформлена под GitHub. На странице размещены кнопка «Скачать для macOS» и поддельный знак «Проверенный издатель», после чего пользователю предлагают скопировать замаскированную команду, вставить её в Terminal и запустить. Автоматического заражения здесь нет: без ручного выполнения команды атака не срабатывает. Расчёт сделан на доверие к знакомому оформлению и на готовность человека исполнить непонятную строку по инструкции с сайта.
После запуска команда обращается к адресу с путём формата /curl/<id>, получает дополнительные сценарии и в итоге запускает инфостилер. AMOS и MacSync охотятся за учётными данными, содержимым браузеров, хранилищами аутентификации, криптовалютными кошельками и конфиденциальными файлами. Такая доставка продолжает тенденцию, которую Microsoft описала в мае: операторы вредоносных кампаний для macOS всё чаще заставляют жертву загружать удалённые сценарии через Terminal. Раньше для той же задачи чаще предлагался образ диска, который пользователь устанавливал вручную.
В анализе, опубликованном 5 августа, Microsoft описала перемены, замеченные за несколько недель наблюдения. В ранней версии страниц инструкции ClickFix, логика работы с буфером обмена, обфусцированная shell-команда и закодированный адрес промежуточного сервера находились прямо в HTML. Статический сканер мог извлечь эти элементы, даже не открывая страницу как обычный пользователь. Затем операторы вынесли решение на сервер: браузер сначала собирает сведения об устройстве, отправляет их, и лишь потом получает выбранное для него содержимое. Сама уловка почти не изменилась, зато автоматический анализ стал заметно менее надёжным.
Для проверки используется примерно 2,5 КБ JavaScript. Код читает свойства navigator, включая строку платформы: от настоящего Mac ожидается значение MacIntel. Затем измеряются разрешение экрана и размеры окна браузера, запрашиваются графические сведения WebGL. Сочетание этих признаков помогает распознавать виртуальные машины, эмуляторы и синтетические браузерные среды, у которых конфигурация выглядит правдоподобно лишь на первый взгляд.
Два теста рассчитаны именно на аналитиков. Первый повышает счётчик, когда открыта консоль разработчика. Второй вызывает canPlayType("video/mp4"). Обычная проверка поддержки видеокодека превращена в ловушку для скрытных браузеров, которые через JavaScript подделывают сведения о доступных форматах. Собранный отпечаток получает метку mode:"php" и автоматически отправляется серверу; посетителю не требуется нажимать кнопку или заполнять форму.
Ответ подбирается заново для каждого запроса. Робот, песочница, аналитик или посетитель из нежелательного региона может увидеть пустую страницу, фальшивый сайт браузерного расширения, посторонний коммерческий ресурс либо другую правдоподобную заглушку. Запрос, похожий на настоящий Mac в подходящем окружении, получает страницу под GitHub с кнопкой «Скачать для macOS», знаком «Проверенный издатель» и командой для Terminal. Поэтому один и тот же URL при двух посещениях способен показать совершенно разные сайты.
Microsoft Security Research и старший исследователь безопасности Microsoft Сринивасан Говиндараджан сформулировали проблему прямо: «Внешне безобидный или похожий на настоящий ответ не означает, что домен безопасен». Однократная проверка ссылки тут мало что доказывает. Если сканер получил нейтральную страницу, это может означать лишь то, что сервер распознал неподходящий браузер. Статический обход и обычная сверка URL пропускают приманку, поскольку вредоносное содержимое физически не возвращается подозрительному клиенту.
Среди подтверждённых адресов встречаются filecopperbasket[.]sbs и applefilevault[.]com. Многие из более чем 250 доменов соединяют слово file со словарными словами, но Microsoft считает такой шаблон лишь поводом для проверки, а не доказательством атаки. Надёжнее искать сочетание признаков: одноразовые имена, одинаковое поведение серверов, самоподтверждающиеся формы отпечатка, скрытые поля с данными браузера, метку mode:"php", общую промежуточную инфраструктуру и запросы к путям /curl/. По одному совпадению легко получить ложное срабатывание.
Защитным командам полезнее отслеживать сам фильтр, чем бесконечно пополнять списки доменов. В охоту стоит включить автоматически отправляемые формы, скрытые поля с отпечатками, совместное использование проверок платформы, размеров экрана и окна, WebGL, открытой консоли разработчика и canPlayType("video/mp4"). Microsoft советует блокировать общую промежуточную инфраструктуру и как минимум контролировать обращения к /curl/<id>. Внешний адрес злоумышленники заменят за несколько минут, тогда как логика фильтра и серверы доставки обычно живут дольше.
Apple добавила дополнительные барьеры в macOS 26.4, выпущенной 24 марта 2026 года, а 3 августа подробно описала соответствующие механизмы. Terminal показывает запрос подтверждения при совпадении всех заданных условий: пользователь не открывал Terminal более 30 дней, на компьютере нет распространённых инструментов разработчика, а вставляемая команда пришла из браузера или приложения для обмена сообщениями. Это даёт неопытному владельцу Mac ещё одну паузу перед запуском. Отдельно XProtect умеет прослеживать команды, вставленные в любой эмулятор терминала, изучать порождённое дерево процессов и связанные сетевые артефакты, а затем блокировать активность, связанную с известным вредоносным ПО.
Microsoft не раскрыла число жертв, общий размах операции, перечень затронутых отраслей и личность операторов. Полной таблицы соответствия доменов полезным нагрузкам тоже нет. Известны устройство инфраструктуры, механизм выбора страниц и цепочка с AMOS. Браузерный отпечаток помогает скрыть приманку от машинного анализа, но не отменяет слабое место схемы: пользователь по-прежнему должен собственноручно скопировать, вставить и выполнить команду. Отказ запускать полученную с сайта строку в Terminal обрывает эту цепочку до загрузки MacSync или Atomic Stealer.
