Un malware per macOS è circolato nei giorni scorsi su X passando da un canale fin troppo normale: un annuncio sponsorizzato.
La pubblicità imitava l’app DynamicLake e, secondo quanto segnalato il 6 luglio 2026 dai ricercatori di Jamf Threat Labs, rimandava a un falso sito creato per spingere gli utenti Mac a installare un software malevolo. La campagna è stata rimossa dopo la segnalazione, ma il caso ha fatto rumore perché l’inserzione arrivava da un account verificato, seguito da molte persone. E sui social, spesso, basta poco: spunta blu, tanti follower, grafica credibile. Il clic arriva in un attimo.
L’annuncio sponsorizzato su X che imitava DynamicLake
L’inserzione comparsa su X promuoveva una presunta versione di DynamicLake, utility reale per Mac che trasforma il notch dei MacBook in un’area interattiva simile alla Dynamic Island degli iPhone. A guardarla, spiegano gli analisti di Jamf Threat Labs, sembrava credibile: nome giusto, grafica curata, tono da normale pubblicità tech. Nulla che facesse scattare subito l’allarme. Il problema era il link: portava a un sito fraudolento, costruito per somigliare a quello vero ma senza alcun legame con gli sviluppatori originali.
L’annuncio, hanno ricostruito i ricercatori, era stato rilanciato da un profilo verificato con un seguito importante. Secondo le prime verifiche, anche il titolare dell’account avrebbe approvato la sponsorizzazione pensando fosse una campagna autentica. Una svista pesante. Per gli utenti, invece, il rischio era semplice e concreto: scambiare una pubblicità apparentemente normale per un download sicuro.
Schermata di un post sponsorizzato e un terminale sullo sfondo, simbolo delle campagne malware diffuse tramite pubblicità sui social.
Il falso sito e il comando nel Terminale: così funziona l’attacco ClickFix
Una volta aperta la falsa pagina di DynamicLake, agli utenti veniva chiesto di aprire il Terminale di macOS e incollare un comando. Quel passaggio, in realtà, serviva a installare di nascosto il malware sul computer. È lo schema tipico degli attacchi ClickFix, una tecnica sempre più diffusa perché punta su un gesto che sembra “tecnico” e viene presentato come necessario per completare l’installazione o risolvere un problema.
Ma un’app affidabile non chiede mai di copiare comandi a caso nel Terminale da una pagina web. Mai in questo modo, senza una procedura chiara e verificabile. Gli esperti di sicurezza lo ripetono spesso: se un sito invita a eseguire istruzioni manuali per installare un programma, soprattutto dopo un clic su una pubblicità, meglio fermarsi, chiudere tutto e cercare il software dal sito ufficiale, digitando l’indirizzo a mano.
Atomic Stealer su macOS: dati a rischio e controlli della piattaforma aggirati
L’analisi tecnica di Jamf Threat Labs ha collegato il payload a una variante recente di Atomic Stealer, tracciata con il nome MacSync. In campagne simili, gli stessi ricercatori hanno segnalato anche casi legati a DigitStealer. Sono famiglie di malware pensate per rubare credenziali, dati personali, informazioni salvate nei browser e altri contenuti presenti sui dispositivi compromessi.
Il punto più delicato, però, riguarda il modo in cui la minaccia è arrivata agli utenti: un annuncio a pagamento su X è riuscito a superare i primi controlli della piattaforma e a raggiungere persone reali prima della rimozione. Dopo la segnalazione dei ricercatori, la pubblicità è stata eliminata.
Resta una regola pratica: controllare sempre dominio, sviluppatore e fonte del download, diffidare delle inserzioni che chiedono passaggi insoliti e non eseguire comandi nel Terminale se non si conosce con certezza da dove arrivano. Su Mac, come su qualsiasi altro dispositivo, la prudenza comincia da un clic in meno.
