Generell gelten Macs als Systeme mit relativ wenig Schadsoftware – Vorfälle mit Trojanern und Viren kommen im Vergleich zu Windows selten vor. In völliger Sicherheit sollten sich die Nutzer von Apple-Computern deswegen aber nicht wiegen. Eine von Group-IB neu entdeckte Malware mit dem Namen ClickLock Stealer zeigt erneut, dass es auch im Apple-Universum gefährliche Software gibt. Ist ClickLock Stealer erst einmal auf dem System, versucht er, an Daten zu kommen, die sich monetisieren lassen.


Passwörter und Schlüsselbunddaten als Ziel
Laut Group-IB zielt die Software auf Informationen aus mehreren Passwortmanager-Erweiterungen und dem macOS-Schlüsselbund, 31 Krypto-Wallet-Erweiterungen, acht Desktop-Wallet-Anwendungen, FTP-Zugangsdaten, Shell-Verläufen sowie Browserdaten und Cookies aus acht verschiedenen Browsern. Überdies wird eine GSocket-Hintertür eingebaut. ClickLock Stealer ist damit in der Lage, erheblichen Schaden für den Nutzer anzurichten.

Die Infektion läuft über das Terminal
Um eine Infektion zu vermeiden, reicht es nicht, einfach nur die aktuellste Systemversion installiert zu haben, da das Programm keine Sicherheitslücken ausnutzt, sondern über Social-Engineering seinen Weg auf den Computer sucht. Konkret muss der Nutzer einen Befehl kopieren und im Terminal ausführen. Danach wird ein Skript geladen, das den Angriff startet. Im weiteren Verlauf bekommt man eine gefälschte Cloudflare-Fortschrittsanzeige zu sehen, während das Skript im Hintergrund vier Komponenten nachlädt und teilweise ausführt, darunter auch Prozesse, die bei der nächsten Anmeldung wieder aktiv werden. Danach wird versucht, den Nutzer zur Eingabe seines Anmelde-Passworts zu bringen. Gibt er dieses nicht ein, wird ihm nach der nächsten Anmeldung durch rasches Beenden vieler Prozesse auf dem Computer suggeriert, der Mac sei gesperrt und würde erst nach Eingabe des Passworts wieder bedienbar.

Der Verbreitungsweg
Bereits ohne das Passwort hat die Software aber breiten Zugriff auf viele Elemente, die dem User selbst gehören. Das sind unter anderem seine Benutzerdaten. Der genaue Verbreitungsweg der Schadsoftware ist aber nicht bekannt, da die Group-IB ihn nicht direkt beobachten konnte und nur aus dem Skript selbst und durch eine forensische Analyse rekonstruiert werden konnte. Im weiteren Verlauf der Infektion versucht die Schadsoftware, durch weitere Social-Engineering-Methoden ihre Rechte zu erweitern und auch Festplattenvollzugriff zu bekommen.

Große Vorsicht bei Terminalbefehlen
Wer sich schützen will, sollte immer große Vorsicht walten lassen, wenn er Befehle im Terminal ausführt. Das blinde Kopieren und Ausführen von Befehlen im Terminal stellt eine große Gefahr dar und wird auch vom ClickLock Stealer ausgenutzt. Apple hat seit macOS Tahoe 26.4 ein neues Sicherheitsfeature implementiert, das verhindern soll, dass Nutzer leichtfertig Befehle ins Terminal kopieren. Bevor ein Befehl im Terminal eingefügt werden kann, der beispielsweise aus dem Browser kopiert wurde, muss der Nutzer nach einer Warnmeldung in einigen Fällen eine zusätzliche Bestätigung abgeben.