Een nieuwe ClickFix-operatie gericht op macOS gebruikt een slimme omweg om beveiligingsonderzoek en geautomatiseerde analyse te dwarsbomen. In plaats van iedereen dezelfde pagina met dezelfde instructies te laten zien, checkt de infrastructuur bezoekers eerst op hun omgeving. Alleen wie “goed genoeg” lijkt, krijgt de verleiding te zien om een kwaadaardige commandoreeks in Terminal uit te voeren.
Microsoft Security Research volgde deze campagne een tijd en rapporteerde hoe de aanval werkt. Het belangrijkste inzicht: de lure en de kwaadaardige keten worden pas geactiveerd na ClickFix macOS fingerprinting—een server-side ‘poort’ die per bezoek beslist wat een bezoeker ziet.
Wat is ClickFix macOS fingerprinting?
Bij ClickFix krijg je doorgaans een pagina die doet alsof hij legitieme software aanbiedt, bijvoorbeeld met een “Download for macOS”-achtig scherm. In deze campagne gaat de check vooraf: de server verzamelt contextsignalen uit de browser om te bepalen of een bezoeker waarschijnlijk een echte gebruiker is, of een crawler, sandbox of analyst.
Belangrijk is dat die beslissing aan de serverkant valt. Daardoor kan twee keer dezelfde URL bezoeken resulteren in totaal verschillende uitkomsten: een blanco pagina, een misleidende variant of juist de echte “lure”.
Waarom de gate beveiligingsanalyses ontwijkt
Microsoft beschrijft dat veel van de front-end domeinen op zichzelf verdacht kunnen lijken, maar dat statische scanners en sandboxes eerder struikelen over de inhoud dan over het echte mechanisme. In eerdere webpagina’s stonden onderdelen van de ClickFix-instructies, clipboard-logica en staging-adressen direct in de HTML. Dat maakte het makkelijker voor tooling om te reconstrueren wat er gebeurde.
De latere variant verplaatst die logica: een script (ongeveer 2,5 KB JavaScript) leest navigatorwaarden en andere eigenschappen van de browser/omgeving. Het script stuurt vervolgens een set signalen naar de server, waarna de server bepaalt welke pagina de bezoeker krijgt.
Welke signalen worden gemeten?
De gate kijkt onder meer naar platforminformatie en scherm- en vensterkenmerken. Daarnaast neemt hij WebGL/graphics-signalen mee om echte Apple-hardware te onderscheiden van virtualisatie of emulatie. Ook factoren als timezone en of de pagina in een iframe is geladen tellen mee.
Verder zitten er checks in die specifiek lijken ontworpen om onderzoekers te raken:
- Een teller die oploopt wanneer de browser developer console open staat.
- Een zogenoemde tripwire met canPlayType(“video/mp4”), misbruikt om te detecteren of een stealth-browser codec-ondersteuning “namens zichzelf” probeert na te doen.
Wat krijgen echte macOS-gebruikers te zien?
Wie door de poort heen komt, krijgt een nep-ervaring die aanvoelt als een legitieme downloadpagina. In de rapportage wordt genoemd dat de pagina een GitHub-achtige look kan hebben en dat er een gefingeerde badge voor “Verified Publisher” wordt gebruikt.
De gate zorgt dus niet alleen voor vertraging of camouflage, maar voor selectieve content. Crawlers, sandboxes of bezoekers uit onverwachte contexten kunnen juist:
- een lege pagina krijgen,
- een nep-browserextensie zien, of
- een ongerelateerde site tegenkomen.
De kernactie blijft: Terminal uitvoeren
De campagne is niet alleen “slim in de browser”. De aanval vraagt nog steeds van de gebruiker om zelf een commandoregel te kopiëren en uit te voeren in Terminal. Microsoft benadrukt dat die stap essentieel is.
Die commandoreeks haalt vervolgens extra scripts op en start een infostealer-keten. De instructie omvat een vorm van obfuscation en leidt uiteindelijk naar een eindcomponent in de geanalyseerde keten.
Welke data probeert de infostealer te verzamelen?
Volgens Microsoft richt de stealer zich op gegevens zoals:
- referenties/credential-achtige informatie,
- browsergerelateerde data,
- authenticatiestore-informatie,
- cryptocurrency wallets, en
- andere gevoelige bestanden.
Microsoft heeft niet gedeeld hoeveel slachtoffers zijn geraakt, welke sectoren gericht zijn, of wie de operators zijn.
Van domeinen naar payload: het pad en de keten
Microsoft bevestigde meer dan 250 front-end domeinen tijdens het waarnemingsvenster. Veel domeinnamen combineren woorden als “file” met dictionary-termen. Voorbeelden die in het onderzoek voorbij komen zijn onder meer namen als filecopperbasket[.]sbs en applefilevault[.]com.
Let op: Microsoft geeft aan dat alleen het domeinpatroon een zwakkere aanwijzing is. Het sterkere signaal zit in de combinatie van:
- gedeelde infrastructuurkenmerken,
- het herkenbare gedrag van de fingerprinting gate, en
- de gedeelde staging/activeringselementen die in de keten terugkomen.
Na succesvolle activatie benadert de commandoreeks een pad met /curl/<id> en haalt daarna vervolgscripts op. In de geanalyseerde keten start de operatie met een component die door Microsoft als onderdeel van de bredere campagnes wordt gezien.
Waarom “lijkt veilig” niet genoeg is
Een opvallend punt uit het Microsoft-rapport: een ogenschijnlijk onschuldige of sterk gelijkende reactie van een domein betekent niet dat de bron veilig is. Omdat de server per aanvraag anders beslist, kan het ene bezoek een nep-pagina tonen en het andere bezoek juist de lure teruggeven.
Daarom is “even checken of de site echt iets installeert” niet voldoende. Bij ClickFix macOS fingerprinting kan het kwaadaardige gedrag buiten beeld blijven voor standaard tooling.
Detectie: waar je op kunt letten
Voor defenders ligt de focus niet alleen op het najagen van losse front-end domeinen, maar vooral op gedrag en sporen rond de gate en de opvolgende commandoketen.
Microsoft adviseert om alert te zijn op een patroon zoals: browsen naar de lure, gevolgd door ongewone Terminal-activiteit.
Concrete aanwijzingen in systeem- en netwerklogs
Let onder meer op combinaties als:
- curl gepiped in zsh,
- Base64-decoding,
- het uitvoeren van osascript, en
- het aanmaken van archieven (archive creation) gevolgd door uitgaande HTTP POST-requests.
Daarnaast kun je jagen op artifacts die specifiek passen bij de gate: zelf-verzenden formulieren met fingerprintvelden, verborgen fingerprinting-inputs en de aanwezigheid van een kenmerk zoals mode:”php” in de bundel.
Omdat de server-client logica per bezoek kan wisselen, is het vaak effectiever om te blokkeren op de gedeelde staging-infrastructuur en de /curl/-paden, in plaats van te blijven zoeken naar elke throwaway front-end.
Praktische maatregelen voor gebruikers
De meest directe bescherming blijft: volg geen webinstructies die vragen om tekst in Terminal te plakken of een commandoregel uit te voeren. Dat geldt voor aanwijzingen die komen via een website, een CAPTCHA-flow, chatberichten of “download”-pagina’s.
Microsoft formuleert het scherp: negeer instructies waarbij je een stukje code kopieert en runt. Wees extra alert als een pagina claimt dat het een veilige download is, terwijl je toch handmatig commando’s moet uitvoeren.
Als je wilt begrijpen waarom “fake” omleidingen en instructies zo vaak terugkomen in infostealer-campagnes, lees ook eens Passkey-hijack door malware: zo werkt het. Daarin zie je hetzelfde patroon: de stap naar accountimpact gaat via misleiding en uitvoering op de gebruiker.
Waarom macOS zichzelf ook probeert te beschermen
Naast detectie aan defender-kant zijn er OS-ontwikkelingen die gebruikers voorzichtiger maken. In de context van deze campagne wordt genoemd dat Apple macOS 26.4 heeft uitgebracht (in maart 2026) en dat er detaildocumentatie verscheen over extra beschermingen.
Concreet gaat het onder meer om prompts in Terminal wanneer het hulpmiddel al langere tijd niet is geopend, het ontbreken van gangbare ontwikkeltools en signalen rond copy/paste vanuit browsers of messaging apps.
Ook wordt aangehaald dat XProtect commando’s kan herleiden die in een terminalemulator worden geplakt, processen kan inspecteren in de process tree, en netwerkartefacten kan bekijken om bij bekende malware-gerelateerde activiteit te blokkeren.
Conclusie: focus op de gate en het Terminal-gedrag
ClickFix macOS fingerprinting is in deze campagne geen bijzaak, maar het startpunt van de misleiding. De serverpoort verbergt de echte lure voor crawlers en sandboxes en toont die alleen aan geselecteerde bezoekers. Daardoor kan onderzoek vertragen als je alleen de front-end URLs analyseert.
Wie zich wil voorbereiden, doet er goed aan om vooral te letten op het gedrag achter de lure: browsen dat eindigt in ongebruikelijke Terminal-stappen zoals curl, Base64-decoding, osascript en archiefvorming met uitgaand webverkeer. Met die focus kun je effectiever blokkeren op gedeelde infrastructuur en de /curl/-activering, in plaats van te jagen op domeinnamen die continu veranderen.
Tot slot: behandel elke instructie die vraagt om Terminal-commando’s te plakken als verdacht. Dat blijft de meest praktische lijn van verdediging, ongeacht hoe “legitiem” de pagina eruitziet.
Bron: https://thehackernews.com/2026/08/over-250-clickfix-domains-use-browser.html
