Neuer ClickFix-Angriff auf Mac-Nutzer im Umlauf: Erpressung trifft auf Datenklau

Gefahr durch ClickLock Stealer: Neue Bedrohung für macOS-Systeme

Sicherheitsforscher des Unternehmens Group-IB haben vor einer neuen, besonders aggressiven Form von Schadsoftware gewarnt, die gezielt auf Mac-Nutzer ausgerichtet ist. Unter dem Namen „ClickLock Stealer“ verbreitet sich eine Malware, die nicht nur sensible Daten entwendet, sondern auch Elemente der digitalen Erpressung nutzt, um ihre Ziele zu erreichen. Die Angriffe wurden erstmals im Mai beobachtet und betreffen Nutzer weltweit, wobei sich die Hälfte der bisher identifizierten Opfer in Europa befindet.

Die Masche: Social Engineering via Terminal

Bei der Angriffsmethode handelt es sich um eine spezielle Variante des sogenannten „ClickFix“-Verfahrens. Dabei werden Nutzer durch manipulierte Webseiten, E-Mails oder Kurznachrichten dazu verleitet, bestimmte Befehlszeilen zu kopieren und manuell in das Terminal ihres Mac-Rechners einzufügen.

Ein häufig genutztes Szenario sind gefälschte Cloudflare-Verifizierungsseiten. Dem Nutzer wird suggeriert, er müsse seine Menschlichkeit durch die Eingabe eines Terminal-Befehls beweisen. Sobald der Befehl ausgeführt wird, beginnt die Malware mit ihrer schädlichen Arbeit. Da die Nutzung des Terminals durch den aktuellen Trend zu KI-Agenten zunimmt, sind viele Anwender weniger skeptisch gegenüber derartigen Aufforderungen geworden.

Erpressung als Mittel zum Zweck

Das Besondere an ClickLock Stealer ist das aggressive Verhalten bei der Passwortabfrage. Die Malware täuscht eine offizielle macOS-Passworteingabe vor, um Administratorrechte zu erlangen. Sollte der Nutzer versuchen, diese Eingabe abzubrechen, greift die Malware zu drastischen Mitteln: Sie beendet systematisch wichtige Systemprozesse.

Davon betroffen sind unter anderem:

* Finder und Dock

* Terminal und Aktivitätsanzeige

* Systemeinstellungen und Konsole

* Spotlight-Suche

* Laufende Browser-Anwendungen

* Die Nachrichtenzentrale (um Warnmeldungen von macOS zu unterdrücken)

Durch das gezielte Lahmlegen der Benutzeroberfläche wird der Nutzer in eine Zwangslage gebracht, in der er kaum eine andere Wahl sieht, als das Administratorpasswort einzugeben. Dies ermöglicht es den Angreifern, den vollen Zugriff auf das System zu erlangen.

Datenabfluss und dauerhafte Hintertür

Sobald das Passwort vorliegt, beginnt der eigentliche Datendiebstahl. Die Malware ist darauf ausgelegt, Informationen aus einer Vielzahl von Quellen abzugreifen, darunter:

* Kryptowallets und Blockchain-Adressen

* Passwort-Manager

* Browser-Daten (mindestens acht verschiedene Browser werden unterstützt)

* Schlüsselbund-Informationen

* FTP-Zugangsdaten

Nachdem die Daten extrahiert wurden, löscht sich die Hauptkomponente der Malware zwar selbst, um Spuren zu verwischen, doch eine Hintertür bleibt bestehen. Über das Netzwerk-Toolkit „GSocket“ können die Angreifer das infizierte System dauerhaft fernsteuern und zu einem späteren Zeitpunkt weitere Informationen entwenden.

Schutzmaßnahmen und Ausblick

Die Sicherheitsforscher konnten bereits mindestens 100 Opfer in 33 Ländern identifizieren. Angesichts der hohen Verbreitung von macOS-Systemen und der zunehmenden Professionalisierung solcher Angriffe ist Wachsamkeit geboten. Apple hat in neueren Versionen von macOS bereits Schutzmechanismen implementiert, die bei der Eingabe von Befehlen in das Terminal einen Warndialog anzeigen. Nutzer sollten solche Warnungen keinesfalls ignorieren.

Die Grundregel bleibt bestehen: Befehle aus unbekannten Quellen im Internet sollten niemals blind kopiert und in das Terminal eingefügt werden. Werden Nutzer aufgefordert, administrative Passwörter in einem ungewohnten Kontext einzugeben, ist höchste Skepsis angebracht, da dies ein klassisches Anzeichen für einen laufenden Angriff ist.