Experten der Firma Group-IB haben eine neue Bedrohung für macOS-Nutzer entdeckt: die Malware namens ClickLock. Das Programm wurde entwickelt, um Krypto-Assets, Browserdaten, Passwortmanager und andere vertrauliche Informationen zu stehlen. Laut BleepingComputer sind bereits mindestens 100 Geräte in 33 Ländern infiziert.

Wie funktioniert ClickLock?

ClickLock ist ein Shell-Skript mit einer Reihe bösartiger Befehle. Die Infektion beginnt über das ClickFix-Schema – eine Methode des Social Engineering, die den Nutzer dazu bringt, einen Befehl im Terminal unter dem Vorwand einer „Menschlichkeitsprüfung“ (CAPTCHA) von Cloudflare mit einer animierten Fortschrittsleiste einzugeben.

Nach dem Start führt das Skript folgende Aktionen aus:

  • Deaktiviert Tastenkombinationen;
  • Versteckt den Cursor im Terminal;
  • Unterbricht die Funktion des macOS-Benachrichtigungszentrums für etwa sechs Stunden;
  • Lädt zusätzliche Module herunter.

Anschließend erscheint auf dem Bildschirm ein gefälschtes macOS-Passworteingabefenster, das den echten Benutzernamen und das Apple-Logo enthält. Wird ein Passwort eingegeben, wird es überprüft und über die Bot-API an die Angreifer in Telegram gesendet.

Was passiert, wenn das Passwort nicht eingegeben wird?

Wenn der Nutzer sich weigert, ein Passwort einzugeben, verankert sich ClickLock im System mithilfe eines LaunchAgent – eines speziellen Hintergrundskripts. Nach dem nächsten Login beendet die Malware alle 210 Millisekunden wichtige Systemprozesse: den Dateimanager Finder, die Dock-Leiste, Webbrowser und andere Systemkomponenten. Auf dem Bildschirm bleibt nur das Passworteingabefenster übrig. Dieser Zyklus kann etwa 83 Stunden andauern oder bis ein korrektes Passwort eingegeben wird.

Zusätzlich fordert ein zweiter LaunchAgent alle 200 Millisekunden Zugriff auf den „Schlüsselbund“ an, um an den verschlüsselten Sicherheitsschlüssel (Chrome Safe Storage) zu gelangen.

Welche Daten stiehlt ClickLock?

Die Malware sammelt Daten aus den Browsern Chrome, Firefox, Brave, Edge, Opera, Vivaldi, Arc und Chromium, darunter:

  • Gespeicherte Passwörter;
  • Cookies;
  • Autofill-Daten;
  • Lesezeichen;
  • Lokaler Speicher.

Zudem stiehlt ClickLock Daten von Krypto-Wallets, Erweiterungen von Passwortmanagern, Shell-Befehlsverläufe, FileZilla-Konfigurationen, Systeminformationen und die öffentliche IP-Adresse. Die gesammelten Daten werden in eine ZIP-Datei archiviert und über Telegram an die Angreifer übermittelt. Dateien größer als 40 MB werden automatisch in Teile aufgeteilt.

Wie schützen Sie sich vor ClickLock?

Laut Experten von Group-IB ist die Erkennung dieser Software schwierig, da kompromittierte legitime Domains verwendet werden und sich die meisten Module nach Ausführung selbst löschen. Zur Schutz empfehlen die Forscher:

  • Führen Sie im Terminal keine Befehle aus, deren Herkunft unbekannt ist;
  • Wenn ein Passworteingabefenster erscheint und das System einfriert, schalten Sie den Computer durch langes Drücken der Netzschalttaste zwangsweise aus;
  • Starten Sie macOS im abgesicherten Modus (Safe Mode).