С 28 июля 2026 года отслеживается масштабная вредоносная кампания, которая превращает легитимные сайты, преимущественно небольшие компании на WordPress, в точки доставки вредоносного ПО для компьютеров Mac. За семь недель наблюдений подтверждено заражение более 1650 веб-ресурсов. Посетителям, которых система не распознала как бота, показывают поддельный экран проверки "Защита от ботов". Тех, кто следует инструкциям, обманом заставляют запустить вредоносный код на своём компьютере. В результате на Mac незаметно устанавливается программа Atomic macOS Stealer (AMOS), созданная для кражи криптовалютных кошельков, сохранённых паролей, сессий браузеров и содержимого связки ключей.
Описание
Схема атаки под названием ClickFix строится на психологическом давлении. Вместо загрузки файла посетителю предлагают самостоятельно выполнить несколько действий. На экране появляется поддельное окно проверки, стилизованное под сервис Google reCAPTCHA. Оно доступно на 14 языках и выглядит убедительно. Человеку предлагают открыть приложение "Терминал" на Mac, вставить скопированный текст и нажать клавишу возврата. Команда имитирует процесс подтверждения, но на самом деле загружает и запускает вредоносную программу. После выполнения окно Терминала очищается и показывает фальшивое сообщение об успешной проверке, поэтому жертва не видит никаких признаков заражения.
Главная особенность этой кампании - не новая техника, а размах и настойчивость. За семь недель доля заражённых сайтов среди отслеживаемых колебалась от 20 до 34 процентов. Две последние проверки показали рекордные значения: 37 и 39 процентов. Инфраструктура злоумышленников постоянно меняется. За время наблюдения зафиксировано 154 различных доменных имени управляющих серверов. Новые адреса появляются группами: например, 28 июля и 27 августа добавилось более 40 новых имён за один день. По данным Ransom-ISAC, блокировка известных доменов неэффективна, поскольку к моменту обновления списка злоумышленники уже используют другие адреса. При этом структура внедряемого скрипта остаётся неизменной, что даёт защитникам более устойчивый признак для обнаружения.
Кампания долго остаётся незамеченной по нескольким причинам. Вредоносный скрипт маскируется под код Google Analytics и внедряется в страницы сайта. Он проверяет, не является ли посетитель автоматическим сканером или поисковым роботом, и если да, то просто не показывается. Обычные системы безопасности, которые сканируют сайты без полноценного браузера, видят чистую страницу. Реальный пользователь при этом получает вредоносное содержимое. Ещё одна причина - отсутствие события загрузки файла. Браузер не скачивает ничего, поэтому встроенные защиты вроде проверки безопасного просмотра и карантина загрузок не срабатывают. Жертва сама запускает команду, и система не рассматривает этот процесс как потенциально опасный.
Для владельцев сайтов ситуация опасна тем, что заражение может оставаться незамеченным неделями. Автоматические проверки не видят внедрённый скрипт. Обнаружить его можно, только открыв страницу в обычном браузере и изучив исходный код на предмет подозрительных тегов, загружающих скрипты с незнакомых доменов. Если такой тег найден, его необходимо удалить, сменить все административные пароли и проверить наличие неизвестных учётных записей. Дополнительно стоит настроить строгую политику безопасности контента (CSP), которая запрещает загрузку скриптов с непроверенных источников.
Пользователям Mac следует запомнить простое правило: ни одна законная проверка на сайте не требует открывать Терминал и вставлять туда команды. Если человек уже выполнил такие инструкции, его компьютер следует считать скомпрометированным. Необходимо с другого чистого устройства сменить все пароли, завершить активные веб-сессии, перевести криптовалюту на новый кошелёк с новой фразой восстановления и переустановить macOS. Промедление увеличивает риск кражи средств и личных данных.
Серверы, используемые для управления заражёнными сайтами, расположены в сетях, связанных с компаниями Aeza Group и NetCrafters OU. В июле 2025 года Министерство финансов США ввело санкции против Aeza Group как поставщика хостинга, который игнорирует жалобы на злоупотребления. Поскольку NetCrafters OU входит в ту же группу сетей и использует Aeza в качестве вышестоящего провайдера, жалобы на злоупотребления, скорее всего, не приведут к быстрому отключению серверов. Это объясняет устойчивость инфраструктуры.
Анализ также показывает, что за кампанией стоит один оператор или команда партнёров. На 91 доступном управляющем сервере обнаружено всего два различных варианта загрузчика и девять комбинаций полного набора инструментов. Две самые распространённые комбинации покрывают более половины всех хостов. Последовательность из шести доменных имён, менявшихся на одном сайте, встретилась ещё на 24 заражённых ресурсах. Это указывает на централизованное управление. Хотя AMOS продаётся как услуга, и набор инструментов сам по себе не идентифицирует конкретного злоумышленника, совпадение последовательностей доменов служит сильным доказательством единого контроля.
Кампания не использует принципиально новых техник. Её успех основан на масштабе, маскировке и инфраструктуре, устойчивой к блокировкам. Для эффективной защиты нужно ориентироваться на структуру внедряемого кода, а не на текущий список доменов. Владельцам сайтов следует регулярно проверять страницы в браузере, а пользователям Mac - проявлять бдительность и никогда не выполнять команды, предложенные незнакомым сайтом.
Индикаторы компрометации
YARA
