Шкідник ClickLock змушує користувачів Mac віддавати паролі через фейкові системні вікна

Компанія з кібербезпеки Group-IB виявила новий зразок шкідливого ПЗ для macOS «у дикій природі», який тисне на користувачів, змушуючи їх віддати паролі через шквал підроблених системних запитів.

Шкідник, що отримав назву ClickLock Stealer, не потребує експлойтів і не вимагає підвищених привілеїв. Натомість атака залежить від того, що жертва вставить команду в Terminal і запустить її. Далі команда виконує скрипт — і запускається весь ланцюжок.

Group-IB не спостерігала безпосередньо, як саме жертв спонукають вставляти команду, але за поведінкою скрипта компанія вважає, що її підсовують через фейкову сторінку «ClickFix», замасковану під перевірку Cloudflare або крок верифікації браузера. Такі сторінки інструктують відвідувачів скопіювати команду та виконати її в Terminal нібито як «обов’язкову вимогу перевірки».

Після запуску скрипт непомітно завантажує кілька модулів і показує в Terminal анімацію завантаження, що імітує індикатор прогресу Cloudflare з перевіркою браузера. Якщо користувач відхиляє початкове вікно введення пароля, шкідник починає блокувати роботу системи.

Зокрема, шкідник завершує роботу кожного видимого застосунку кожні 210 мілісекунд, доки на екрані лишається запит пароля, а решта робочого столу стає непридатною для використання, доки жертва не здасться. Паралельно інший цикл пригнічує сповіщення безпеки macOS приблизно на шість годин.

Якщо користувач усе ж вводить пароль, далі примусово виводиться на передній план друге, справжнє вікно macOS із проханням дозволити доступ до елемента в Keychain. Надання дозволу передає AES-ключ Chrome «Safe Storage», який браузер використовує для шифрування збережених паролів і cookie.

Отримавши пароль входу та шифрування Chrome, ClickLock збирає облікові дані браузера, дані Keychain, сховища менеджерів паролів і будь-які криптогаманці, а потім надсилає все це в Telegram-бот. Також він встановлює прихований бекдор, замаскований під процес iCloud, щоб зберігати постійний доступ.

У Group-IB кажуть, що кампанія активна з травня 2026 року та націлилася щонайменше на 100 жертв у 33 країнах. Понад половина постраждалих — у Європі.

Apple уже оновила macOS, щоб спробувати захиститися від цього класу атак ще до їхнього старту. У macOS Tahoe 26.4 додали попередження, яке з’являється, коли користувач намагається вставити команду в Terminal із вебсайту, чату або повідомлення, і блокує вставлення, доки користувач не перегляне вміст. (Браузер Opera також нещодавно додав схожу функцію.)

У випадках, коли macOS виявляє відоме шкідливе ПЗ, вставлення блокується повністю — без можливості обійти заборону. Утім, і так очевидно: жоден легітимний сайт ніколи не проситиме користувача вставляти команду в Terminal.