Die Sicherheitsfirma Group-IB hat eine neue macOS-Malware namens „ClickLock Stealer“ entdeckt, die Nutzer:innen mit einer Serie gefälschter Systemabfragen dazu drängt, ihre Passwörter einzugeben. Der Angriff kommt ohne Sicherheitslücken und ohne erhöhte Rechte aus, setzt aber voraus, dass ein Befehl manuell im Terminal ausgeführt wird.
Angriff über gefälschte „ClickFix“-Seite und Terminal-Befehl
Der Angriff beginnt damit, dass Opfer einen Befehl in das macOS-Terminal einfügen und ausführen. Dieser Befehl startet ein Skript, das den weiteren Ablauf steuert. Group-IB hat nicht direkt beobachtet, wie die Betroffenen zu diesem Schritt verleitet werden. Aufgrund des Verhaltens des Skripts geht das Unternehmen jedoch davon aus, dass eine gefälschte „ClickFix“-Seite verwendet wird, die sich als Cloudflare-Prüfung oder Browser-Verifizierung ausgibt.
Solche Seiten fordern Besucher:innen dazu auf, einen angezeigten Befehl zu kopieren und im Terminal auszuführen, angeblich als notwendige „Verifizierungsanforderung“. Sobald das Skript läuft, lädt es unauffällig mehrere Module nach und zeigt im Terminal eine Ladeanimation, die einem Cloudflare-Fortschrittsbalken mit Browser-Verifizierung nachempfunden ist.
Druck durch unbenutzbare Oberfläche und unterdrückte Warnmeldungen
Parallel dazu blendet die Malware einen Passwortdialog ein. Wenn dieser anfänglich abgelehnt wird, beginnt „ClickLock Stealer“ damit, die Nutzung des Systems gezielt einzuschränken. Sichtbare Apps werden alle 210 Millisekunden beendet, solange die Passwortabfrage auf dem Bildschirm steht. Der restliche Desktop bleibt in dieser Zeit faktisch unbenutzbar, bis das Passwort eingegeben wird.
Gleichzeitig unterdrückt eine weitere Schleife Sicherheitsbenachrichtigungen von macOS für etwa sechs Stunden. Darauf soll offenkundig verhindert werden, dass Nutzer:innen durch Systemhinweise auf den Angriff aufmerksam werden oder Schutzmechanismen eingreifen.
Geben Betroffene schließlich ihr Passwort ein, erzwingt die Malware anschließend eine zweite, diesmal echte macOS-Abfrage im Vordergrund. Diese fordert dazu auf, den Zugriff auf ein Keychain-Element zu erlauben. Wird die Freigabe erteilt, erhält das Skript den „Safe Storage“-AES-Schlüssel von Chrome, der für die Verschlüsselung gespeicherter Passwörter und Cookies verwendet wird.
Datendiebstahl, Telegram-Exfiltration und verstecktes Backdoor
Mit dem erlangten Login-Passwort und dem Chrome-Verschlüsselungsschlüssel sammelt „ClickLock Stealer“ anschließend Zugangsdaten aus dem Browser, Daten aus der macOS-Keychain, Tresore von Passwortmanagern sowie gegebenenfalls vorhandene Kryptowallets ein. Diese Informationen werden an einen Telegram-Bot übertragen.
Darüber hinaus installiert die Malware ein verstecktes Backdoor, das sich als iCloud-Prozess tarnt. Damit soll ein dauerhafter Zugriff auf das System ermöglicht werden, ohne dass dies auf den ersten Blick erkennbar ist.
Laut Group-IB ist die Kampagne seit Mai 2026 aktiv und hat mindestens 100 Opfer in 33 Ländern ins Visier genommen. Mehr als die Hälfte der bekannten Fälle entfällt auf Europa.
Apple hat bereits reagiert und macOS um eine Schutzfunktion erweitert, die genau diese Angriffsform im Ansatz erschweren soll. In macOS Tahoe 26.4 erscheint eine Warnung, wenn versucht wird, einen Befehl aus einer Website, einem Chat oder einer Nachricht in das Terminal einzufügen. Das Einfügen wird blockiert, bis der Befehl überprüft wurde. In Fällen, in denen macOS bekannte Malware erkennt, wird das Einfügen komplett und ohne Möglichkeit zur Umgehung unterbunden. Der Browser Opera hat kürzlich eine ähnliche Funktion eingeführt.
Unabhängig davon gilt: Keine legitime Website wird Euch jemals auffordern, einen Befehl in das Terminal zu kopieren und dort auszuführen.
Hinweis: Dieser Beitrag ist eine automatisch erstellte Zusammenfassung mithilfe von Künstlicher Intelligenz. Eine redaktionelle Prüfung fand nicht statt.
Via: macrumors.com
