Tra la fine di aprile e la metà di giugno 2026, i ricercatori di Microsoft Defender Experts hanno rilevato un aumento significativo dell'attività di ACR Stealer negli ambienti dei clienti. Si tratta di un infostealer che sfrutta la tecnica ClickFix per ingannare gli utenti e rubare credenziali memorizzate nei browser, token di autenticazione e documenti sensibili.
Cos'è ClickFix e perché funziona
ClickFix è una tattica di social engineering che presenta all'utente un falso messaggio di errore — spesso una finestra di dialogo che simula un problema di visualizzazione, un CAPTCHA fallito o un aggiornamento necessario — e lo invita a copiare e incollare un comando PowerShell o una riga di codice nel terminale di Windows. L'utente, pensando di risolvere un problema tecnico, esegue inconsapevolmente il payload malevolo.
Questa tecnica bypassa molte difese tradizionali perché è l'utente stesso a lanciare il codice, spesso con i propri privilegi, e non richiede l'apertura di allegati o il click su link sospetti.
Cosa ruba ACR Stealer
- Credenziali salvate nei browser (Chrome, Edge, Firefox e altri)
- Token di autenticazione di sessione (cookie di sessione, bearer token)
- Documenti sensibili presenti sul dispositivo
Il furto di token di sessione è particolarmente insidioso: permette all'attaccante di riutilizzare sessioni già autenticate senza dover conoscere la password né superare l'autenticazione a due fattori (MFA), finché il token rimane valido.
Due catene di intrusione osservate
Microsoft ha documentato due distinte catene di infezione che convergono nel deployment di ACR Stealer:
- Catena basata su web: l'utente atterra su un sito compromesso o malevolo che mostra il falso errore ClickFix; copiando il comando proposto, scarica ed esegue lo stealer.
- Catena basata su email/documento: un messaggio di phishing o un documento condiviso (es. PDF, OneNote) contiene le istruzioni ClickFix mascherate da procedura legittima (es. "per visualizzare il documento").
Entrambe le catene portano all'esecuzione di script PowerShell offuscati che scaricano il payload finale, stabiliscono persistenza ed esfiltra i dati verso server di comando e controllo (C2).
Impatto per PMI e MSP
Le PMI sono bersagli frequenti perché spesso dispongono di risorse di sicurezza limitate e si affidano a MSP per la gestione della protezione degli endpoint e dell'identità. Il furto di credenziali e token può portare a:
- Accesso non autorizzato a servizi cloud (Microsoft 365, Google Workspace, VPN, CRM, ERP)
- Compromissione di account amministrativi e spostamento laterale
- Esfiltrazione di dati sensibili (proprietà intellettuale, dati clienti, bilanci)
- Attacchi successivi: ransomware, business email compromise (BEC), supply chain
Contromisure pratiche per MSP
1. Formazione mirata su ClickFix
Inserite nei programmi di security awareness esempi concreti di finestre ClickFix. Insegnate agli utenti a non copiare mai comandi da messaggi di errore, pagine web o documenti non verificati. La regola d'oro: "se ti chiedono di aprire PowerShell o terminale per 'riparare' qualcosa, è un attacco".
2. Hardening di PowerShell e scripting
- Attivate PowerShell Constrained Language Mode dove possibile.
- Abilitate Script Block Logging (Event ID 4104) e Module Logging per rilevare comandi offuscati.
- Usate AppLocker o Windows Defender Application Control (WDAC) per limitare l'esecuzione di script non firmati.
3. Protezione delle credenziali e token
- Imponete MFA resistente al phishing (FIDO2, Windows Hello for Business, Microsoft Authenticator con number matching).
- Configurate Conditional Access per richiedere dispositivi conformi e sessioni a basso rischio.
- Riducete la durata dei token di sessione e attivate il token protection (es. Continuous Access Evaluation in Microsoft Entra ID).
- Disabilitate il salvataggio delle password nei browser tramite policy di gruppo o Intune; promuovete l'uso di password manager aziendali.
4. Monitoraggio e rilevamento
- Distribuite Microsoft Defender for Endpoint (o EDR equivalente) con network protection e attack surface reduction (ASR) rules attive (es. blocco di script offuscati, blocco di credenziali rubate da LSASS).
- Create regole di detection per: esecuzione di PowerShell con parametri sospetti (
-EncodedCommand,-WindowStyle Hidden,Invoke-Expression), connessioni a domini appena registrati o categorie threat, accessi anomali a vault browser. - Integrare i log in un SIEM o in Microsoft Sentinel per correlazione cross-sorgente.
5. Risposta rapida in caso di compromissione
- Revocate immediatamente tutti i token di sessione dell'utente compromesso (in Entra ID: "Revoke sessions").
- Forzate il reset password e la reregistrazione MFA.
- Controllate gli accessi recenti (Sign-in logs) per individuare accessi anomali (geo-impossibili, nuovi device, client non gestiti).
- Verificate se l'account è stato usato per deleghe, creazione di regole inbox, concessione consensi OAuth.
Indicatori di compromissione (IOC) e risorse
Microsoft pubblica regolarmente IOC (hash file, IP, domini, firme di detection) nel Microsoft Defender Threat Intelligence e nel portale Microsoft Defender XDR. Gli MSP che gestiscono tenant clienti dovrebbero:
- Abilitare le detection rules dedicate ad ACR Stealer e ClickFix.
- Configurare alert automatici per i segnali correlati.
- Condividere le informazioni con i clienti tramite report periodici di threat intelligence.
Nota per i consulenti: la tecnica ClickFix non è nuova, ma la sua adozione da parte di stealer come ACR dimostra quanto sia efficace contro utenti non addestrati. La combinazione di formazione continua, hardening tecnico e monitoraggio comportamentale rimane la difesa più solida per le PMI che non hanno un SOC interno.
Prossimi passi per l'MSP
- Verificare che le ASR rules siano attive su tutti gli endpoint gestiti.
- Programmare una sessione di awareness ClickFix per i clienti entro 30 giorni.
- Rivedere le policy di Conditional Access e token lifetime.
- Includere ACR Stealer/ClickFix nel runbook di incident response per il furto di credenziali/token.
La minaccia evolve velocemente: mantenere aggiornate le detection e la formazione utenti è l'investimento con il miglior ritorno per proteggere le PMI da questa classe di attacchi.
