ClickLock Stealer ist ein neuer, modularer Infostealer für macOS, der über Phishing-Seiten im ClickFix-Stil verbreitet wird. Er kann den Mac des Opfers sperren, dessen macOS-Passwort sowie Daten aus dem Browser und dem Passwortmanager sowie Kryptowährungs-Wallets stehlen und anschließend eine dauerhafte Hintertür hinterlassen.
Die Malware wurde von Forschern von Group-IB entdeckt. Sie benannten sie nach der „ClickFix “-Verbreitungstechnik und ihrer Fähigkeit, Mac eines Opfers zu sperren, Mac dieses den Anweisungen nicht folgt, indem sie alle sichtbaren Prozesse beendet.
Die Forscher entdeckten ein bösartiges Shell-Skript, das in der Regel dazu dient, Nutzer dazu zu verleiten, ihr eigenes Gerät zu infizieren, und verfolgten die Spur von dort aus weiter. Das Skript zeigt zunächst einen gefälschten Cloudflare-Fortschrittsbalken an, was darauf hindeutet, dass es als Teil eines gefälschten Browser-Verifizierungsablaufs eingesetzt werden sollte.
Die Opfer gelangen auf eine Phishing-Seite, die die Cloudflare-Verifizierung oder ein anderes gefälschtes Systemdienstprogramm nachahmt – ähnlich wie bei der „Infiniti Stealer“-Kampagne und späteren „ClickFix“-Angriffen, bei denen sich die Angreifer als „Claude“ oder als Bereinigungsprogramme ausgaben.
Auf der Seite wird der Nutzer aufgefordert, das Terminal zu öffnen, einen Befehl einzufügen und die Eingabetaste zu drücken; dies wird als erforderlicher Schritt zur „menschlichen Verifizierung“ oder als schnelle Lösung dargestellt.
Die Forscher erklären:
„Die Malware aktiviert weitere Module, die das System nach verschiedenen Daten durchsuchen, darunter Browser-Anmeldedaten, Daten aus Passwort-Managern, Krypto-Wallet-Erweiterungen, Desktop-Wallet-Dateien usw., und nutzt sogar eine GSocket-Backdoor.“
All dies geschieht, während der Nutzer durch gefälschte Cloudflare-Bilder abgelenkt wird.
Eine GSocket-Backdoor nutzt GSocket (kurz für „Global Socket“), ein Open-Source-Netzwerk-Toolkit, missbräuchlich aus. Obwohl es für legitime Fernverwaltung und Penetrationstests entwickelt wurde, können Angreifer es dazu missbrauchen, um einen verdeckten, dauerhaften und verschlüsselten Fernzugriff auf kompromittierte Systeme herzustellen.
Opfer dazu zwingen, ihr Passwort preiszugeben
Besonders auffällig ist die Art und Weise, wie die Malware den Nutzer dazu zwingt, das Passwort seines macOS-Systems einzugeben.
Zunächst wird eine überzeugend gefälschte macOS-Passwortabfrage angezeigt, die den echten Benutzernamen des Opfers und ein heruntergeladenes Apple-Symbol verwendet. Gibt der Nutzer sein Passwort ein, wird dieses zusammen mit allen zuvor gestohlenen Daten an einen von den Angreifern kontrollierten Telegram-Kanal gesendet.
Lehnt der Benutzer dies ab, löst die Malware eine Schleife aus, die wichtige Prozesse wie Finder, Dock, Terminal, Aktivitätsanzeige, Konsole, Systemeinstellungen, Spotlight und alle gängigen Webbrowser beendet. Auf dem Bildschirm bleibt lediglich ein Passwortdialogfeld stehen, bis das Opfer den Anweisungen nachkommt.
Diese „Kill-Schleife“ läuft alle 210 Millisekunden für bis zu 83 Stunden oder so lange, bis der Benutzer das richtige Passwort eingibt. Das Ergebnis ist ein System, das praktisch unbrauchbar ist, wobei die Passwortabfrage zum einzigen interaktiven Element wird.
Sobald die gestohlenen Daten an den Telegram-Kanal gesendet wurden, beginnt die Malware damit, ihre eigenen Module zu löschen. Im Gegensatz zu den Infostealer-Modulen bleibt die GSocket-Backdoor jedoch installiert, wodurch der Angreifer weiterhin Fernzugriff auf das System hat.
Das bedeutet, dass Angreifer später – selbst nachdem sich die Stealer-Komponenten selbst gelöscht haben – zurückkehren können, um neue Malware zu installieren, weitere Daten zu stehlen oder sich mithilfe von VPNs oder SSH-Zugängen, die auf dem kompromittierten Mac bereits verfügbar sind, im Unternehmensnetzwerk zu bewegen.
Wie man sicher bleibt
Benutzer, die macOS Tahoe 26.4 oder eine neuere Version verwenden, erhaltenWarnungen vor möglichen ClickFix-Angriffen, doch alle sollten weiterhin vorsichtig sein.
Da ClickFix immer weiter um sich greift und ständig neue Methoden entwickelt, ist es wichtig, wachsam zu bleiben, zweimal nachzudenken, bevor man unerwarteten Anweisungen folgt, und seine Geräte zu schützen.
- Nehmen Sie sich Zeit.Befolgen Sie Anweisungen auf einer Webseite oder in einer Eingabeaufforderung nichtvorschnell, insbesondere wenn Sie aufgefordert werden, Befehle auf Ihrem Gerät auszuführen oder Code zu kopieren und einzufügen. Angreifer nutzen das Gefühl der Dringlichkeit aus, um Ihr kritisches Denken zu umgehen.
- Führen Sie keine Befehle oder Skripte aus nicht vertrauenswürdigen Quellen aus.Führen Sie niemalsCode oder Befehle aus, die Sie von Websites, E-Mails oder Nachrichten kopiert haben, es sei denn, Sie vertrauen der Quelle und wissen genau, was die Aktion bewirkt.
- Überprüfen Sie Anweisungen selbstständig. WennSie auf einer Website aufgefordert werden, einen Befehl auszuführen oder eine technische Maßnahme zu ergreifen, sollten Sie dies anhand der offiziellen Dokumentation überprüfen oder den Support kontaktieren, bevor Sie fortfahren.
- Schränken Sie das Kopieren und Einfügen von Befehlen ein.Das manuelleEingeben von Befehlen anstelle des Kopierens und Einfügens kann das Risiko verringern, versehentlich schädliche Payloads auszuführen, die in kopiertem Text versteckt sind.
- Sichern Sie Ihre Geräte. Verwenden Sie eine aktuelle Echtzeit- Anti-Malware-Lösung mit Webschutz. Malwarebytes Verbindungen zu unsicheren Websites wie diesen.
- Informieren Sie sich über neue Angriffstechniken.Das Bewusstsein, dass Angriffe aus unerwarteten Richtungen kommen können, hilft Ihnen, wachsam zu bleiben. Lesen Sie unseren Blog weiter!
- Halten Sie sich von gesponserten Anzeigen in den Suchergebnissen fern.Jeder kann sie kaufen und so gestalten, dass sie seriös wirken.
Profi-Tipp:Die kostenlose Malwarebytes Browser Guard warnt dich, wenn eine Website versucht, etwas in deine Zwischenablage zu kopieren.
Wir berichten nicht nur über Bedrohungen - wir beseitigen sie
Cybersecurity-Risiken sollten nie über eine Schlagzeile hinausgehen. Laden Sie noch heute Malwarebytes herunter, um Bedrohungen von Ihren Geräten fernzuhalten.
