ClickLock setzt Mac-Nutzer mit gefälschten Passwortabfragen unter Druck
Sicherheitsforscher von Group-IB haben eine bislang nicht dokumentierte Schadsoftware für macOS analysiert. Der „ClickLock Stealer“ soll Passwörter, Browserdaten, Schlüsselbund-Inhalte und Informationen aus Krypto-Wallets entwenden. Sicherheitslücken oder administrative Rechte benötigt die Malware dafür zunächst nicht – sie setzt vor allem auf Social Engineering.
- ClickLock greift Mac-Nutzer über mutmaßlich gefälschte Prüfseiten an
- Das Opfer muss zunächst selbst einen Terminalbefehl ausführen
- Die Malware blockiert Programme und erzwingt Passwortabfragen
- Ziel sind Browserdaten, Schlüsselbund-Inhalte und Krypto-Wallets
- Group-IB zählt mindestens 100 mögliche Opfer in 33 Ländern
Angriff beginnt mit einem Terminalbefehl
Nach Einschätzung von Group-IB dürfte ClickLock über gefälschte Prüfseiten verbreitet werden. Diese geben sich beispielsweise als Cloudflare-Kontrolle oder Browser-Verifizierung aus und fordern Besucher dazu auf, einen kopierten Befehl in das macOS-Terminal einzufügen. Den konkreten Verbreitungsweg konnten die Forscher allerdings nicht direkt beobachten.
Bei ClickFix-Angriffen geben sich manipulierte Webseiten als Sicherheits-, Captcha- oder Browserprüfung aus. Sie fordern Nutzer dazu auf, einen kopierten Befehl im Terminal oder in einer anderen Systemkonsole auszuführen. Erst dieser manuelle Schritt startet die eigentliche Schadsoftware.
Führt das Opfer den Befehl aus, startet ein Shell-Skript und lädt mehrere Module nach. Währenddessen zeigt das Terminal eine gefälschte Fortschrittsanzeige, die eine legitime Cloudflare-Prüfung imitieren soll. Im Hintergrund beginnt die Schadsoftware bereits damit, weitere Komponenten einzurichten.
ClickLock blockiert Programme
Zunächst blendet die Malware eine nachgeahmte macOS-Abfrage für das Anmeldepasswort ein. Wird diese geschlossen, richtet ClickLock laut der Analyse einen dauerhaften Startmechanismus ein. Nach einer erneuten Anmeldung beendet die Schadsoftware sichtbare Anwendungen in sehr kurzen Abständen und lässt im Wesentlichen nur die Passwortabfrage bedienbar.
Die Forscher beobachteten dabei Intervalle von rund 210 Millisekunden. Zusätzlich soll ein weiterer Prozess die macOS-Mitteilungszentrale für mehrere Stunden wiederholt beenden, damit Sicherheitswarnungen weniger wahrscheinlich sichtbar werden.
Gibt der Nutzer sein Passwort ein, überprüft ClickLock dessen Gültigkeit und übermittelt es an einen Telegram-Bot der Angreifer. Anschließend kann eine echte macOS-Abfrage erscheinen, die den Zugriff auf einen Eintrag im Schlüsselbund erlaubt.
Browserpasswörter und Wallets im Visier
Über diesen Schlüsselbund-Eintrag versucht die Malware, an den von Chrome verwendeten „Safe Storage“-Schlüssel zu gelangen. Mit ihm lassen sich lokal gespeicherte Passwörter, Cookies und weitere Browserdaten entschlüsseln.
Der Analyse zufolge zielt ClickLock auf Daten aus acht Browsern, sieben Passwortmanager-Erweiterungen, 31 Erweiterungen für Krypto-Wallets sowie acht eigenständigen Wallet-Anwendungen. Hinzu kommen der macOS-Schlüsselbund, FTP-Zugangsdaten und der Verlauf der Kommandozeile.
Die gestohlenen Informationen werden gesammelt, archiviert und über Telegram an die Angreifer übertragen. Zusätzlich installiert ClickLock eine versteckte Hintertür, die sich als iCloud-Prozess tarnt und einen späteren Fernzugriff ermöglichen soll.
Mindestens 100 mögliche Opfer
Group-IB bringt die Kampagne mit mindestens 100 Opfern in 33 Ländern in Verbindung. Mehr als die Hälfte davon soll sich in Europa befinden. Die beobachteten Aktivitäten reichen dem Bericht zufolge bis Mai 2026 zurück. Teile des Programmcodes deuten nach Einschätzung der Forscher darauf hin, dass sich die Malware noch in Entwicklung befindet.
Apple hat mit macOS Tahoe 26.4 eine zusätzliche Schutzfunktion für kopierte Terminalbefehle eingeführt. Das System weist darauf hin, wenn ein Befehl aus einer Webseite, einem Chat oder einer Nachricht in das Terminal eingefügt werden soll. Bei bereits bekannter Schadsoftware kann macOS das Einfügen vollständig blockieren.
Nutzer sollten Terminalbefehle von Webseiten grundsätzlich nur ausführen, wenn Herkunft und Funktion eindeutig nachvollziehbar sind. Eine vermeintliche Captcha- oder Browserprüfung erfordert normalerweise keinen manuell eingefügten Terminalbefehl.
