Malware con falsi aggiornamenti del browser e falsi captcha che prende di mira gli utenti crypto
Come il malware con falso captcha e i falsi aggiornamenti del browser rubano crypto: il trucco del comando da incollare, i segnali d’allarme, le misure di protezione e cosa fare se l’hai eseguito.
Gli attacchi con falsi captcha e falsi aggiornamenti del browser ti inducono a installare il malware da solo: un sito mostra una convincente casella «conferma di essere umano» o un avviso «aggiorna il tuo browser» e poi ti dice di scaricare un file o di incollare un comando nel computer, installando un software che ruba dati dei wallet crypto, password e sessioni del browser. Un vero captcha o un vero aggiornamento del browser non ti chiede mai di aprire una finestra di comando o di eseguire un file scaricato da un sito qualsiasi.
Gli utenti crypto sono bersagli privilegiati perché un solo computer infetto può esporre file di hot wallet, seed phrase salvate nelle note, sessioni sugli exchange e password manager. Questa guida spiega come funzionano questi attacchi, quali sono i segnali d’allarme e cosa fare se pensi di averne eseguito uno.
Come funziona il trucco del falso captcha
Questa tecnica, spesso chiamata «ClickFix» dai ricercatori di sicurezza, trasforma la vittima in chi installa il malware.
- 1Arrivi su una pagina: magari un blog hackerato, un falso visualizzatore di documenti, un sito di software pirata o un link inviato nella chat di una community crypto.
- 2Compare un controllo dall’aspetto familiare, nello stile di un noto servizio di captcha, che dice che devi confermare di essere umano.
- 3Quando clicchi sulla casella, la pagina copia silenziosamente un comando malevolo negli appunti.
- 4Compaiono nuove istruzioni: su Windows, «premi Windows + R, poi Ctrl + V, poi Invio»; su Mac, una variante potrebbe chiederti di aprire il Terminale e incollare.
- 5Esegui il comando senza vederlo per intero. Scarica e avvia il malware in background.
- 6La pagina può mostrare «verifica completata» e lasciarti proseguire, così niente sembra fuori posto.
Il trucco funziona perché aggira molte protezioni del browser: sei tu, non il sito, a eseguire il programma.
Come funzionano gli attacchi con falsi aggiornamenti del browser
Il cugino più anziano dei falsi captcha è il falso banner di aggiornamento:
- Un sito compromesso o malevolo sovrappone un messaggio a schermo intero che dice che il tuo browser è obsoleto o che una pagina non può essere visualizzata senza un aggiornamento.
- La pagina imita il marchio del tuo browser e offre un pulsante di download.
- Il file è malware, spesso camuffato da programma di installazione o da file compresso contenente uno script.
I browser veri si aggiornano automaticamente o tramite gli aggiornamenti di sistema. Non hai mai bisogno di scaricare un aggiornamento del browser da un sito che stavi visitando per caso.
Cosa ruba il malware
La maggior parte di queste campagne distribuisce infostealer: malware che raccoglie rapidamente dati di valore e li invia all’attaccante. Per gli utenti crypto possono includere:
| Dati rubati | Perché è importante |
|---|---|
| Dati delle estensioni wallet del browser | I vault cifrati possono essere forzati offline se la password è debole o salvata |
| Password salvate e compilazione automatica | Login degli exchange, account email e password dei wallet |
| Cookie di sessione | A volte gli attaccanti possono dirottare sessioni già aperte senza bisogno di password o codice 2FA |
| File e note | Screenshot o file di testo che contengono seed phrase |
| Appunti | Alcuni malware sostituiscono gli indirizzi copiati; vedi malware degli appunti |
Poiché gli stealer agiscono in pochi secondi, le perdite possono avvenire prima che tu noti qualcosa di strano.
Un esempio ipotetico
Quello che segue è un’illustrazione composita, non un caso reale.
Immagina Alex, che cerca uno strumento gratuito per i grafici e apre un sito di download. Compare una casella captcha. Dopo averci cliccato, ad Alex viene detto di premere Windows + R e incollare per «completare la verifica». Sembra strano, ma il sito ha un aspetto professionale. Qualche ora dopo, il wallet del browser di Alex è stato svuotato e un account exchange mostra un tentativo di prelievo. Lo stealer aveva copiato i dati cifrati del wallet, le password salvate e i cookie di sessione pochi minuti dopo essere stato eseguito.
Checklist dei segnali d’allarme
- Un «captcha» ti chiede di usare scorciatoie da tastiera, aprire Esegui, Terminale o PowerShell, o incollare qualcosa.
- Un sito web, e non il tuo browser, dice che devi scaricare un aggiornamento.
- Un download arriva come script, collegamento o tipo di file insolito invece che come normale programma di installazione del fornitore ufficiale.
- La pagina è comparsa dopo un reindirizzamento da un sito inatteso o da un annuncio nei motori di ricerca.
- Un link in una conversazione su Discord, Telegram o X porta a un passaggio di «verifica».
- Il browser o l’antivirus ti avvisa del file e la pagina ti dice di ignorare l’avviso.
Come proteggerti
- 1Non incollare mai comandi che non capisci, soprattutto se provengono da una pagina web.
- 2Aggiorna il software solo da fonti ufficiali: il menu delle impostazioni del browser, lo strumento di aggiornamento del sistema operativo o il sito ufficiale del fornitore.
- 3Tieni le seed phrase offline. Non salvarle mai in app di note, screenshot o documenti nel cloud. Vedi come fare il backup di una seed phrase nel modo giusto.
- 4Usa un hardware wallet per importi significativi, così le chiavi private non si trovano mai sul tuo computer.
- 5Usa un password manager con una master password robusta e attiva la 2FA tramite app o chiave hardware su exchange ed email.
- 6Separa le attività: valuta un dispositivo o un profilo del browser dedicato alle crypto, che non usi per scaricare file o navigare su siti qualsiasi.
- 7Fai attenzione agli annunci nei motori di ricerca per software e strumenti crypto; la nostra guida sul phishing tramite annunci di ricerca spiega perché.
Cosa fare se l’hai eseguito
- 1Scollega il dispositivo infetto da internet.
- 2Da un dispositivo pulito, crea un nuovo wallet con una nuova seed phrase e sposta i fondi da ogni wallet che si trovava sul computer infetto. Segui cosa fare subito se il tuo wallet è compromesso.
- 3Cambia le password di email, exchange e password manager, partendo dall’email, ed esci da tutte le sessioni attive.
- 4Revoca le approvazioni dei token da ogni wallet coinvolto che continui a usare.
- 5Formatta e reinstalla il computer infetto, o fallo fare a un professionista; rimuovere gli stealer manualmente non è affidabile.
- 6Segnala il sito malevolo allo strumento di segnalazione della navigazione sicura del tuo browser e a noi tramite il nostro modulo di segnalazione.
In sintesi
I falsi captcha e i falsi aggiornamenti funzionano perché ti fanno eseguire il malware da solo. Nessuna verifica vera ti chiede di incollare un comando, e nessun browser vero ha bisogno di un download da una pagina qualsiasi. Tieni le chiavi lontane dai computer di uso quotidiano, aggiorna solo da fonti ufficiali e, se ci sei cascato, agisci in fretta da un dispositivo pulito.
Domande frequenti
Che cos’è un attacco con falso captcha?
Un attacco con falso captcha mostra una pagina che sembra un normale controllo «conferma di essere umano», ma invece di farti cliccare sulle immagini ti chiede di premere scorciatoie da tastiera che aprono una finestra di comando e di incollare un comando nascosto. Quel comando scarica malware, spesso un infostealer che prende di mira wallet crypto, password e dati del browser.
Un captcha vero mi chiederebbe mai di eseguire un comando?
No. I captcha legittimi ti chiedono di spuntare una casella, cliccare sulle immagini o risolvere un puzzle nel browser. Non ti chiedono mai di aprire la finestra Esegui, il Terminale o PowerShell, né di incollare qualcosa. Qualsiasi istruzione del genere è un attacco e dovresti chiudere la pagina.
I browser hanno davvero bisogno di aggiornamenti manuali dai siti web?
I browser moderni come Chrome, Firefox, Edge e Safari si aggiornano da soli o tramite il sistema di aggiornamento del sistema operativo. Un sito che ti dice di scaricare un file di aggiornamento del browser è quasi sempre malevolo. Cerca gli aggiornamenti solo dal menu delle impostazioni del browser stesso.
Ho eseguito il comando. Le mie crypto sono al sicuro?
Dai per scontato di no. Scollega il computer, usa un altro dispositivo pulito per spostare i fondi da ogni hot wallet le cui chiavi o frase si trovavano su quel computer verso un nuovo wallet, cambia le password importanti dal dispositivo pulito e revoca le sessioni attive. Poi fai formattare e reinstallare il computer infetto.