Аналитики Group-IB обнаружили инфостилер ClickLock для macOS. Если пользователь отказывается сообщить пароль от системы, эта малварь завершает работу Finder, Dock, Terminal, Activity Monitor, браузеров и других приложений каждые 210 мс. В итоге на экране остается только окно для ввода пароля.
По данным специалистов, с мая 2026 года ClickLock атаковал не менее 100 систем в 33 странах, и больше половины целей находились в Европе. Впервые управляющий шелл-скрипт этой малвари загрузили на VirusTotal 9 июня, и на момент анализа его не детектировало ни одно из доступных на платформе антивирусных решений. Исследователи отмечают, что, судя по структуре кода, ClickLock пока находится в разработке.
Предполагается, что заражение начинается с классической ClickFix-атаки: фальшивая проверка Cloudflare предлагает пользователю скопировать вредоносную команду и выполнить ее через Terminal. Если пользователь следует инструкциям злоумышленников и выполняет команду, скрипт скрывает курсор, блокирует прерывание с клавиатуры и показывает бесполезную анимацию якобы проводящейся «проверки», пока со взломанных сайтов загружаются четыре пейлоада.
Затем ClickLock показывает жертве фальшивое системное окно с настоящим именем пользователя и иконкой Apple, предлагая ввести пароль. Введенный пароль проверяется локально через dscl, поэтому в итоге атакующим передаются только реальные учетные данные.
Если жертва закрывает окно, малварь создает два LaunchAgent — com.authirity.plist и com.chromer.plist. После следующего входа в систему первый завершает работу всех ключевых приложений каждые 210 мс и может удерживать систему в таком состоянии до 83 часов (300 000 секунд). Второй запускает похожий цикл с интервалом 200 мс, рассчитанный почти на 35 дней (3 млн секунд).
При этом вредонос запрашивает у жертвы доступ к Keychain, а также стремится получить ключ для Chrome Safe Storage. Все остальные приложения продолжают принудительно закрываться, пока пользователь не введет пароль и не разрешит доступ.
После получения доступа стилер собирает в системе пароли, файлы cookie, данные автозаполнения и сессий из восьми браузеров (Chrome, Firefox, Brave, Edge, Opera, Vivaldi, Arc и Chromium), содержимое расширений и десктопных криптокошельков, данные менеджеров паролей, Keychain, историю командной строки и настройки FileZilla. Вся эта информация упаковывается в архив ZIP и передается хакерам через Telegram Bot API. Файлы размером более 40 Мбайт разбиваются на части, а при сетевых сбоях загрузка возобновляется автоматически.
Кроме того, ClickLock устанавливает в системе жертвы модифицированную версию опенсорсного инструмента GSocket. Этот компонент предоставляет атакующим реверс-шелл и закрепляется через LaunchAgent, cron и конфигурационные шелл-файлы. На диске бэкдор маскируется под iCloud, а его процесс называется «SystemUIServerl» — с лишней буквой в конце. Остальные модули самостоятельно удаляются после выполнения, что помогает скрыть атаку.
Эксперты Group-IB подчеркивают, что если Mac внезапно начал закрывать приложения и требует пароль, вводить его нельзя. В таком случае специалисты рекомендуют принудительно выключить устройство, загрузиться в безопасном режиме и проверить механизмы автозапуска. Если пароль уже введен, следует завершить активные браузерные сессии, сменить все сохраненные пароли и считать скомпрометированными файлы cookie, данные криптокошельков и прочую информацию, хранившуюся на устройстве.
