Die Sicherheitsfirma Group-IB warnt vor ClickLock Stealer, einer neuen Mac-Bedrohung, die vertraute Systemabläufe ausnutzt, um Nutzer:innen zu Passworteingaben und Zugriffsfreigaben zu drängen. Die Malware macht betroffene Macs kaum benutzbar, bis Opfer ihre Zugangsdaten preisgeben.
So funktioniert der Angriff mit ClickLock
Seit Mai 2026 hat die Kampagne von ClickLock laut Group-IB mindestens 100 Ziele in 33 Ländern erreicht, mehr als die Hälfte davon in Europa. Weitere Betroffene fanden die Expert:innen in Nordamerika, im Mittleren Osten und in Afrika. ClickLock baut auf dem bekannten ClickFix-Betrug auf, bei dem gefälschte CAPTCHA- oder Cloudflare-Prüfseiten Nutzer:innen dazu bringen, Befehle in das Terminal zu kopieren.
Der Angriff startet erst, wenn ein solcher Befehl von einer bösartigen Webseite kopiert und im Terminal ausgeführt wird. Das Skript lädt dann mehrere Module nach, die Passwörter stehlen, Browser- und Kryptowährungsdaten sammeln, auf den macOS-Schlüsselbund zugreifen und eine dauerhafte Hintertür einrichten. Group-IB konnte die konkreten Verteilungsseiten nicht direkt beobachten, sieht aber in der gefälschten Cloudflare-Oberfläche, der verwendeten Sprache und einer Terminal-Fortschrittsanimation klare Hinweise auf eine Verbreitung über ClickFix.
Die Malware zeigt einen scheinbar nativen macOS-Passwortdialog mit Benutzer:innenname und Apple-Symbol an. ClickLock prüft die Eingabe lokal und sendet nur das korrekte Passwort an einen Bot beim Messenger-Dienst Telegram. Wird der Dialog abgebrochen, stoppt der Angriff nicht. Stattdessen legt ClickLock sogenannte LaunchAgents an, die bei der nächsten Anmeldung automatisch starten. So können Passwortdiebstahl und Schlüsselbundzugriffe weiterlaufen, auch wenn das Terminal geschlossen oder der Mac neu gestartet wurde.
Störung statt Verschlüsselung: Wie ClickLock Druck aufbaut
Im Gegensatz zu klassischer Erpressersoftware verschlüsselt ClickLock keine Dateien und sperrt den Mac nicht dauerhaft. Stattdessen setzt die Malware auf erzwungene Interaktionen, indem sie Apps und Systemprozesse ständig beendet, bis ein Passwort eingegeben oder ein Schlüsselbunddialog bestätigt wird.
Ein Modul schließt laut Group-IB etwa fünfmal pro Sekunde Finder, Terminal, Aktivitätsanzeige, Systemeinstellungen und wichtige Browser. Übrig bleibt meist nur der Passwortdialog als eine der wenigen bedienbaren Komponenten auf dem Bildschirm, was Analyse und Abwehr deutlich erschwert. Ein weiteres Modul nutzt dieselbe Taktik, während es Zugriff auf den Eintrag „Chrome Safe Storage“ im macOS-Schlüsselbund verlangt. Der gestohlene Schlüssel ermöglicht es Angreifenden, kopierte Datenbanken von Chromium-Browsern mit Passwörtern, Cookies und automatischen Ausfüllinformationen zu entschlüsseln.
ClickLock versucht zudem, die Mitteilungszentrale etwa sechs Stunden lang zu unterdrücken und kann den Bereich „Vollzugriff auf Festplatte“ in den Systemeinstellungen öffnen. Nach Einschätzung von Group-IB sollen so Warnungen versteckt und Betroffene dazu gedrängt werden, umfangreichere Rechte zu gewähren. Die Malware nutzt dabei keine Sicherheitslücke, und das ursprüngliche Skript benötigt keine Administratorrechte. Stattdessen verlässt sich ClickLock darauf, dass Nutzer:innen den Befehl ausführen und dann glaubwürdig wirkende Dialoge und macOS-Werkzeuge mehr Zugriffsrechte abfragen.
Dauerhafte Hintertür und Datendiebstahl
Ein weiteres Modul installiert eine veränderte Version des Open-Source-Werkzeugs GSocket in einem Ordner namens „iCloudsync“. Nach Angaben von Group-IB dient dieses Modul als dauerhafte Rückverbindungsschale und ermöglicht anhaltenden Fernzugriff. Viele andere Komponenten von ClickLock versuchen, sich nach erledigter Aufgabe selbst zu löschen und Dateizeitstempel zu verändern. Die GSocket-Hintertür bleibt dagegen bestehen, sodass der Mac normal wirken kann, während der unbemerkte Zugriff weiterläuft.
ClickLock stiehlt Browseranmeldedaten, Schlüsselbundinformationen, Datensätze aus Passwortmanagern, Krypto-Wallet-Daten, Shell-Verlauf und FileZilla-Zugangsdaten. Betroffen sind unter anderem 1Password, Bitwarden, MetaMask, Coinbase Wallet, Chrome und Firefox. Group-IB bewertet die Kampagne als finanziell motiviert, da der Fokus auf Kryptowallets, Browserzugängen und Authentifizierungsdaten liegt. Wer hinter der Kampagne steht, ist bislang nicht öffentlich bekannt.
Das ursprüngliche bösartige Shell-Skript tauchte erstmals auf, als es jemand am 9. Juni bei VirusTotal hochlud. Zum Zeitpunkt der Analyse durch Group-IB erkannte keiner der dortigen Scanner die Datei als schädlich.
Wie Ihr Euch vor ClickLock Stealer schützen könnt
Eine CAPTCHA- oder Cloudflare-ähnliche Prüfseite sollte Euch niemals dazu auffordern, einen Befehl in das Terminal zu kopieren. Seriöse Browserprüfungen finden ausschließlich im Browser statt. Laut Group-IB sollten alle, die den Befehl ausgeführt haben, aktive Browsersitzungen beenden und gespeicherte Passwörter, Cookies und Wallet-Daten als kompromittiert betrachten. Betroffene sollten Passwörter von einem sauberen Gerät aus ändern und die Verzeichnisse ~/Library/LaunchAgents/ sowie ~/.cacheb/ auf Hinweise einer Infektion überprüfen.
Beginnt ein Mac unvermittelt damit, Apps zu schließen, während ein unerwarteter Passwortdialog erscheint, sollte das Gerät laut Bericht sofort heruntergefahren und nicht mit dem Passwort entsperrt werden. Der sichere Modus bietet anschließend eine bessere Umgebung für weitere Untersuchungen, wobei der Startvorgang bei Apple-Silicon- und Intel-Macs unterschiedlich abläuft.
