Forscher von Group-IB haben den neuen macOS-Infostealer ClickLock Stealer entdeckt, der einen grundsätzlich anderen Ansatz zur Erlangung des Systempassworts nutzt: Weigert sich das Opfer, seine Zugangsdaten einzugeben, beginnt die Malware, zentrale Anwendungen – Finder, Dock, Spotlight, Terminal, Activity Monitor und Browser – alle 210 Millisekunden zyklisch zu beenden. Der Desktop wird so in eine nicht nutzbare Umgebung mit nur noch einem Passwortfenster verwandelt. Laut Group-IB hat die Kampagne seit Mai mindestens 100 Ziele in 33 Ländern getroffen, mehr als die Hälfte davon in Europa. Zum Zeitpunkt der Analyse wies das Orchestrator-Skript auf VirusTotal keinen einzigen Treffer auf.
Mechanik der Infektion: von der Eingabe in Terminal bis zur Übernahme des Desktops
Die Auslieferung von ClickLock basiert auf der Technik ClickFix (T1204.004) – das Opfer wird dazu gebracht, einen Befehl in Terminal einzufügen. Das Skript nimmt den Parameter RAY_ID entgegen und zeigt ein gefälschtes Cloudflare-CAPTCHA-Banner mit einem Fortschrittsbalken aus zwölf Statuszeilen an – ein rein dekoratives Element, das Legitimität vorgaukeln soll. Hinter dieser Fassade deaktiviert das Skript Tastaturunterbrechungen, blendet den Mauszeiger aus und lädt vier Payloads von zwei kompromittierten Websites: Zwei werden direkt an bash übergeben, zwei im versteckten Verzeichnis $HOME/.cacheb/ gespeichert.
Die erste Passwortabfrage erfolgt über einen osascript-Dialog mit einem geladenen Apple-Icon und dem echten Benutzernamen. Das eingegebene Passwort wird mit dem Befehl dscl /Local/Default -authonly geprüft, und nur ein gültiges Passwort wird an den Operator übermittelt. Dieselbe Validierungstechnik wurde laut Microsoft in SHub Stealer, AMOS und MacSync im Rahmen der Welle von macOS-ClickFix-Kampagnen im Mai eingesetzt.
Wenn das Opfer auf „Abbrechen“ klickt, installiert das Skript zwei LaunchAgents – com.authirity.plist und com.chromer.plist in ~/Library/LaunchAgents/ – und beendet sich unauffällig. Der Zwang setzt beim nächsten Login ein.
Doppelter Zwangszyklus
Der erste LaunchAgent startet eine Schleife, die Prozesse im Abstand von 210 ms beendet, bis das Passwort erlangt ist. Der zweite arbeitet parallel: Er beendet Prozesse alle 0,2 Sekunden über bis zu 3.000.000 Sekunden (etwa 34,7 Tage) und fordert gleichzeitig alle halbe Sekunde den Chrome Safe Storage-Keychain-Schlüssel an. Diese Abfrage löst einen echten Systemdialog von macOS aus, während der Zyklus zum Beenden von Anwendungen den Desktop unbenutzbar hält, bis das Opfer den Zugriff genehmigt.
Activity Monitor und Terminal sind in beiden Killlisten enthalten – das Opfer kann das Problem weder diagnostizieren noch den Prozess mit Standardmitteln stoppen. Ein dritter Zyklus beendet NotificationCenter über einen Zeitraum von sechs Stunden und blockiert so die Anzeige von Gatekeeper-Warnungen. Falls Terminal nicht über Full Disk Access verfügt, öffnet der Orchestrator die System Settings auf dem entsprechenden Panel und führt das Opfer durch die Erteilung der Berechtigung.
Group-IB beschreibt die Subsekunden-Aufrufe von pkill und killall gegen Finder, Dock, SystemUIServer und NotificationCenter als „ein Verhalten, das einzigartig für Zwangsinteraktions-Malware ist und keine legitime Anwendung hat“.
Umfang des Datendiebstahls und Backdoor
Bei erfolgreicher Ausführung erhält der Operator: das validierte macOS-Systempasswort, den AES-Schlüssel von Chrome Safe Storage (für die Offline-Entschlüsselung der Dateien Login Data und Cookies), sowie ein ZIP-Archiv mit Browser-Zugangsdaten, Cookies, den Speichern von Krypto-Wallet-Erweiterungen, Dateien von Desktop-Wallets, Speichern von Passwortmanagern, dem Inhalt von Keychain, Shell-Historie und gespeicherten FileZilla-Zugangsdaten. Die Exfiltration erfolgt über drei Telegram-Bots.
Die Backdoor-Komponente goyim ist nach Einschätzung von Group-IB zu 80 % aus einem öffentlichen Deployment-Skript von GSocket kopiert – einem Tunneling-Tool mit verschlüsselter Reverse-Verbindung über ein Relais. Die Binärdatei wird von gsocket.io geladen und verbindet sich mit dem Operator-Relais gsnc[.]eu:67. Unter macOS wird sie als iCloud in ~/Library/Application Support/iCloudsync gespeichert und tarnt sich als Prozess SystemUIServerl – mit einem zusätzlichen „l“ am Ende.
Ein kritisches Detail: Die Stealer-Module löschen ihre eigenen LaunchAgents, manipulieren die Zeitstempel von Dateien im Verzeichnis ~/Movies, um Forensik zu erschweren, und zerstören sich selbst. Die Backdoor goyim bleibt jedoch bestehen. Nach der Passworteingabe wirkt der Desktop wieder normal, doch auf dem System läuft eine Reverse-Shell.
Apples Schutzmechanismen und ihre Grenzen
In macOS 26.4, veröffentlicht Ende März, hat Apple eine Warnung bei verdächtigem Einfügen in Terminal sowie eine Blockierung bekannten Schadcodes eingeführt. Allerdings, so geht aus der Apple-Dokumentation hervor, erscheint die Warnung nur bei Nutzern, die Terminal nicht regelmäßig verwenden, und enthält eine Schaltfläche „Paste Anyway“. Die Blockierung setzt voraus, dass macOS die Signatur der Malware bereits kennt.
Zwei Umgehungsansätze tauchten innerhalb weniger Wochen auf. Jamf Threat Labs dokumentierte im April eine Kampagne, die das URL-Schema applescript:// nutzt, um Script Editor mit einer vorab geladenen Payload zu öffnen – die Terminal-Prüfung greift dabei überhaupt nicht. ClickLock wählte einen anderen Weg: Die Eingabe in Terminal blieb erhalten, aber der Zwangsmechanismus wurde so gestaltet, dass eine Weigerung des Nutzers ins Leere läuft.
Indikatoren einer Kompromittierung
- Hash des Orchestrators:
3ce0504ba65f8d56f83d7fef45faeaeb31e4e5aa9b872b56610b5f2558231caa - LaunchAgent-Dateien:
com.authirity.plist,com.chromer.plist - Backdoor:
~/Library/Application Support/iCloudsync/iCloud, ProzessSystemUIServerl - Netzwerkindikatoren:
gsnc[.]eu:67, Traffic zuapi.telegram.org - Verhaltensindikatoren: Aufruf von
security find-generic-passwordaus einem Shell-Skript;osascript-Dialoge mit Icons aus/tmp/; massenhaftes Auslesen von Browser-Profilverzeichnissen; in bash umgeleitetescurlmit einer URL, die auf.jpg,.txtoder.cssendet
Empfehlungen zur Reaktion
Wenn Ihr Mac beginnt, Anwendungen zyklisch zu beenden und nur noch ein einziges Passwortfenster anzuzeigen – geben Sie das Passwort nicht ein. Keine einzige Verifizierungsseite benötigt Zugriff auf Terminal; die Cloudflare-Prüfung läuft im Browser.
- Erzwungenes Ausschalten: Halten Sie den Power-Button gedrückt, bis der Mac sich ausschaltet.
- Start im Safe Mode: Auf Intel-Macs – beim Einschalten Shift gedrückt halten; auf Apple Silicon – Power-Button gedrückt halten, bis „Loading startup options“ erscheint, das Volume auswählen, dann Shift gedrückt halten und „Continue in Safe Mode“ anklicken (Apple-Anleitung).
- Entfernen von Artefakten: Prüfen Sie
~/Library/LaunchAgents/aufcom.authirity.plistundcom.chromer.plist; löschen Sie~/Library/Application Support/iCloudsyncund$HOME/.cacheb/. - Falls das Passwort eingegeben wurde: Betrachten Sie alle gespeicherten Passwörter, Cookies, Wallet-Schlüssel und Browsersitzungen als kompromittiert. Widerrufen Sie aktive Sitzungen, ändern Sie alle Passwörter und stellen Sie Krypto-Wallet-Schlüssel neu aus.
ClickLock zeigt eine Verschiebung in der Taktik von macOS-Infostealern: Statt technische Schutzmechanismen zu umgehen, kommt Zwangs-Engineering zum Einsatz, bei dem eine Verweigerung durch den Nutzer den Angriff nicht stoppt, sondern nur bis zum nächsten Login verschiebt. Organisationen mit einem Mac-Park sollten auf die genannten IOC prüfen, Terminal-Rechte per MDM-Richtlinien einschränken und sicherstellen, dass Nutzern klar ist: Legitime Systemprozesse beenden Finder und Dock niemals in einer Schleife, um ein Passwort zu erzwingen.
