Nuovo attacco malware sfrutta in modo subdolo un falso CAPTCHA

Un CAPTCHA dovrebbe limitarsi a verificare che dietro lo schermo ci sia una persona.

Una nuova variante della truffa ClickFix sfrutta invece proprio la familiarità di questi controlli per convincere l’utente a installare malware sul computer.

La pagina mostra un falso messaggio “verifica che sei umano” e chiede di premere Windows + R, incollare un comando già presente negli appunti con Ctrl + V e confermare con Invio. Il pericolo non nasce necessariamente da una vulnerabilità del browser: è la vittima a eseguire volontariamente un’azione che il sistema interpreta come legittima. Il comando può poi scaricare infostealer, trojan o strumenti di controllo remoto.

Come funziona la truffa del falso CAPTCHA

Un CAPTCHA autentico chiede di interagire con gli elementi della pagina, per esempio selezionando immagini, riconoscendo caratteri o spuntando una casella. Non ha bisogno di aprire la finestra Esegui, il terminale o altri strumenti del sistema operativo. La richiesta di eseguire comandi è quindi uno dei segnali più affidabili della frode.

Nel modello ClickFix, il sito contraffatto prepara un comando negli appunti e mostra una procedura apparentemente tecnica. Windows + R apre la finestra Esegui, Ctrl + V incolla il contenuto e il tasto Invio lo avvia. L’utente non vede necessariamente il comando prima dell’esecuzione e può credere di completare una normale verifica di sicurezza.

La tecnica sfrutta componenti legittimi come PowerShell, mshta.exe o curl.exe. Sono strumenti presenti nel sistema e possono essere usati per recuperare script, scaricare payload o avviare ulteriori programmi. Per questo l’attacco non assomiglia sempre a un download tradizionale e può eludere parte dei controlli basati sull’analisi dei file. Microsoft ha associato campagne ClickFix alla distribuzione di Lumma Stealer e di altri malware capaci di sottrarre informazioni o mantenere la persistenza sul dispositivo.

La pagina malevola può comparire su siti compromessi, annunci pubblicitari manipolati, risultati di ricerca o messaggi di phishing. Il falso CAPTCHA non è l’unico pretesto: la schermata può sostenere che il browser abbia un errore, che sia necessario un aggiornamento o che un problema tecnico impedisca di visualizzare il contenuto. Nel 2026 Microsoft ha inoltre documentato CrashFix, una variante che provoca deliberatamente un malfunzionamento e propone poi una falsa soluzione.

Come riconoscere e gestire un attacco ClickFix

La regola fondamentale è semplice: un CAPTCHA non chiede mai di premere Windows + R, incollare testo nel sistema operativo o eseguire comandi. Lo stesso vale per messaggi che invitano a usare PowerShell o il terminale per risolvere un errore del browser. Se compare una procedura di questo tipo, bisogna chiudere la scheda senza seguire le istruzioni.

Se il comando è già stato eseguito, è prudente disconnettere il computer dalla rete, avviare una scansione completa con un software di sicurezza aggiornato e cambiare le password utilizzando un altro dispositivo. La priorità va agli account email e di servizi finanziari, perché una casella di posta compromessa può permettere di reimpostare credenziali. L’autenticazione a più fattori aggiunge una protezione importante, anche se non annulla il rischio legato a sessioni o cookie già sottratti.

Quando sono coinvolti servizi bancari o carte di pagamento, è opportuno contattare direttamente l’istituto e controllare le transazioni. Se il dispositivo continua a mostrare comportamenti anomali, può servire un intervento professionale o il ripristino completo del sistema.