DPRK, attacchi ClickFix in finti colloqui crypto diffondono BeaverTail e InvisibleFerret. Lazarus Group inganna i candidati con malware travestiti da test di lavoro

Negli ultimi mesi i ricercatori di sicurezza hanno scoperto una nuova campagna legata ad hacker nordcoreani che sfrutta la tecnica di social engineering nota come ClickFix. L’operazione prende di mira chi cerca lavoro nel settore delle criptovalute, in particolare candidati per posizioni di marketing e trading, attirandoli con annunci e colloqui falsi. Durante l’intervista viene simulato un problema tecnico, ad esempio un malfunzionamento della webcam o dell’accesso alla piattaforma. Alla vittima viene chiesto di copiare e incollare dei comandi nel terminale o in PowerShell per “risolvere” l’errore, ma in realtà quei comandi installano malware.

Due tra i software dannosi osservati in queste campagne sono BeaverTail e InvisibleFerret, strumenti che consentono agli attaccanti di ottenere accesso remoto, rubare credenziali e monitorare le attività degli utenti. Diversi ricercatori collegano l’operazione al Lazarus Group, già noto per attacchi a catene di fornitura, furti di criptovalute e compromissioni di piattaforme di scambio. La novità, in questo caso, è che la tecnica ClickFix viene impiegata in maniera sistematica e su larga scala, dimostrando come strumenti nati in ambienti criminali stiano ormai diventando parte integrante dei kit usati da attori sponsorizzati da stati.

Il pericolo principale non è soltanto la diffusione del malware, ma il fatto che la tecnica stessa aggira molte difese automatiche: è l’utente, con le proprie mani, a eseguire i comandi dannosi, convinto di risolvere un problema legittimo. Questo riduce drasticamente l’efficacia di antivirus e sistemi di rilevamento tradizionali, spostando l’attenzione sulla necessità di riconoscere i segnali sociali di un attacco.

Le conseguenze potenziali sono gravi, soprattutto perché i bersagli appartengono a un settore come quello crypto, dove un furto di chiavi o di credenziali può tradursi in perdite immediate e difficilmente recuperabili. Per questo la prevenzione passa innanzitutto dalla consapevolezza: imparare a riconoscere richieste sospette, verificare sempre la legittimità delle aziende che propongono colloqui e diffidare da chi invita a inserire manualmente comandi nel sistema operativo. Parallelamente è cruciale rafforzare le difese tecniche, con politiche di esecuzione più restrittive e con strumenti di sicurezza in grado di monitorare comportamenti anomali, piuttosto che limitarsi alla firma del malware.