ClickLock Stealer è un nuovo infostealer modulare per macOS diffuso tramite pagine di phishing simili a ClickFix, in grado di bloccare Mac della vittima, sottrarre la password di macOS, i dati del browser e del gestore di password, nonché i portafogli di criptovalute, per poi lasciare una backdoor persistente.
Il malware è stato scoperto dai ricercatori di Group-IB, che lo hanno chiamato così in riferimento alla tecnica di distribuzione ClickFix e alla sua capacità di bloccare il Mac della vittima, terminando tutti i processi visibili, Mac questa non segua le istruzioni fornite.
I ricercatori hanno individuato uno script shell dannoso, solitamente utilizzato per indurre gli utenti a infettare il proprio dispositivo, e da lì hanno seguito le tracce. Lo script visualizza innanzitutto una barra di avanzamento Cloudflare contraffatta, il che suggerisce che fosse destinato a essere utilizzato nell’ambito di una procedura di verifica del browser fasulla.
Le vittime vengono reindirizzate a una pagina di phishing che imita la procedura di verifica di Cloudflare o un’altra utilità di sistema fasulla, simile a quelle utilizzate nella campagna “Infiniti Stealer” e, successivamente, negli attacchi ClickFix che si spacciano per Claude o per utilità di pulizia.
La pagina invita l'utente ad aprire Terminale, incollare un comando e premere Invio, presentandolo come un passaggio obbligatorio di “verifica umana” o come una soluzione rapida.
I ricercatori spiegano:
«Il malware attiva ulteriori moduli che analizzano il sistema alla ricerca di vari dati, tra cui credenziali del browser, dati dei gestori di password, estensioni di portafogli crittografici, file di portafogli desktop, ecc., e ricorre persino a una backdoor GSocket.»
Tutto questo avviene mentre l'utente è distratto da immagini false di Cloudflare.
Una backdoor GSocket sfrutta GSocket (abbreviazione di Global Socket), un toolkit di rete open source. Sebbene sia stato progettato per scopi legittimi quali l’amministrazione remota e i test di penetrazione, gli aggressori possono utilizzarlo come arma per stabilire un accesso remoto nascosto, persistente e crittografato ai sistemi compromessi.
Costringere le vittime a rivelare la propria password
Ciò che colpisce particolarmente è il modo in cui il malware costringe l'utente a fornire la password del proprio sistema macOS.
In primo luogo, visualizza una finestra di richiesta della password di macOS falsificata in modo convincente, utilizzando il nome utente reale della vittima e un'icona Apple scaricata. Se l'utente inserisce la propria password, questa viene inviata, insieme a tutti i dati rubati in precedenza, a un canale Telegram controllato dagli autori dell'attacco.
Se l'utente rifiuta, il malware avvia un ciclo che arresta i processi chiave, tra cui Finder, Dock, Terminale, Monitor attività, Console, Impostazioni di sistema, Spotlight e tutti i principali browser web. Sullo schermo rimane solo una finestra di dialogo per l'inserimento della password, finché la vittima non acconsente.
Questo “ciclo infinito” si ripete ogni 210 millisecondi per un massimo di 83 ore, oppure fino a quando l’utente non inserisce la password corretta. Il risultato è un sistema praticamente inutilizzabile, in cui la richiesta della password diventa l’unico elemento interattivo.
Una volta che i dati rubati sono stati inviati al canale Telegram, il malware inizia a eliminare i propri moduli. Tuttavia, a differenza dei moduli di furto di informazioni, la backdoor GSocket rimane installata, garantendo all'autore dell'attacco un accesso remoto continuo al sistema.
Ciò significa che gli autori degli attacchi possono tornare in un secondo momento, anche dopo che i componenti dello stealer si sono autoeliminati, per installare nuovo malware, rubare ulteriori dati o muoversi all’interno della rete aziendale utilizzando le VPN o l’accesso SSH già disponibili sul Mac compromesso.
Come stare al sicuro
Gli utenti che utilizzano macOS Tahoe 26.4 e versioni successive vedranno apparireavvisi relativi a possibili attacchi ClickFix, ma tutti dovrebbero comunque prestare attenzione.
Con ClickFix che imperversa e inventa continuamente nuovi metodi, è importante stare all’erta, riflettere bene prima di seguire istruzioni inaspettate e proteggere i propri dispositivi.
- Prenditi il tempo necessario. Nonaffrettarti a seguire le istruzioni riportate su una pagina web o in una finestra di dialogo, soprattutto se ti viene chiesto di eseguire comandi sul tuo dispositivo o di copiare e incollare del codice. Gli hacker fanno leva sul senso di urgenza per aggirare il tuo pensiero critico.
- Evita di eseguire comandi o script provenienti da fonti non attendibili. Noneseguire maicodice o comandi copiati da siti web, e-mail o messaggi, a meno che tu non ti fidi della fonte e non comprenda chiaramente l'effetto dell'operazione.
- Verifica le istruzioni autonomamente. Seun sito web ti chiede di eseguire un comando o di compiere un'operazione tecnica, controlla la documentazione ufficiale o contatta l'assistenza prima di procedere.
- Limitare l'uso del copia-incolla per i comandi.Digitare manualmentei comandi invece di copiarli e incollarli può ridurre il rischio di eseguire inconsapevolmente payload dannosi nascosti nel testo copiato.
- Proteggi i tuoi dispositivi. Utilizza un sistema aggiornato e in tempo reale soluzione anti-malware con protezione web. Malwarebytes le connessioni a siti non sicuri come questi.
- Informati sulle tecniche di attacco in continua evoluzione.Essere consapevoli del fatto che gli attacchi possono provenire da fonti inaspettate aiuta a mantenere alta la vigilanza. Continua a seguire il nostro blog!
- Diffidate degli annunci sponsorizzati nei risultati di ricerca.Chiunque può acquistarli e farli sembrare attendibili.
Consiglio da esperto:il programma gratuito Malwarebytes Browser Guard ti avvisa quando un sito web cerca di copiare qualcosa negli appunti.
Non ci limitiamo a segnalare le minacce, ma le eliminiamo.
I rischi per la sicurezza informatica non dovrebbero mai diffondersi al di là di un titolo di giornale. Tenete le minacce lontane dai vostri dispositivi scaricando Malwarebytes oggi stesso.
