ClickLock Stealer lurer macOS-brukere til å installere skadevare

En ny malwarekampanje retter seg mot Mac-brukere ved hjelp av en enkel, men svært effektiv metode. I stedet for å utnytte sikkerhetssårbarheter lurer ClickLock Stealer brukerne til å infisere sine egne datamaskiner ved å følge falske sikkerhetsinstruksjoner.

Angrepet starter med en falsk verifiseringsside som hevder at brukeren må fullføre et ekstra sikkerhetstrinn før en nettside kan åpnes. Offeret blir deretter bedt om å kopiere og kjøre en kommando i macOS Terminal. Når kommandoen kjøres, installeres skadevaren i bakgrunnen uten å vekke mistanke.

Kampanjen viser hvordan cyberkriminelle i stadig større grad benytter sosial manipulering i stedet for tekniske sårbarheter.

Falske verifiseringssider sprer skadevare

I motsetning til mange tradisjonelle malwarekampanjer bygger ClickLock Stealer ikke på programvaresårbarheter.

I stedet vises overbevisende verifiseringssider som ser ut til å komme fra en legitim tjeneste. Sidene hevder at nettleserkontrollen har mislyktes og ber brukeren kjøre en Terminal-kommando for å fortsette.

Siden brukeren selv kjører kommandoen, kan angriperne omgå mange av sikkerhetsmekanismene som normalt blokkerer uautoriserte programinstallasjoner.

Skadevaren stjeler sensitiv informasjon

Når ClickLock Stealer er installert, begynner den å lete etter verdifull informasjon på Mac-en.

Forskerne har observert at skadevaren kan stjele lagrede innloggingsopplysninger, autentiseringstokener, data fra kryptolommebøker og informasjon som er lagret i macOS Keychain. Den samler også inn Terminal-historikk og annen systeminformasjon som kan hjelpe angriperne med å få tilgang til flere kontoer.

Skadevaren støtter et stort antall kryptolommebøker og flere populære nettlesere, noe som gjør den spesielt farlig for brukere som oppbevarer digitale verdier på Mac-en.

Angriperne beholder tilgangen

ClickLock Stealer gjør mer enn å stjele informasjon.

Skadevaren installerer også en bakdør som gjør det mulig for angriperne å koble seg til den infiserte datamaskinen på nytt når som helst. Dermed kan de installere ytterligere skadevare eller fortsette å samle inn informasjon over lengre tid.

Forskerne oppdaget også en innebygd funksjon som presser brukeren til å fullføre den falske verifiseringen. Hvis offeret forsøker å avbryte prosessen, lukker skadevaren gjentatte ganger åpne programmer for å få systemet til å virke ustabilt.

Sosial manipulering driver angrepene

ClickLock Stealer viser hvordan cyberkriminelle endrer metodene sine.

I stedet for å lete etter tekniske sårbarheter forsøker de å få brukerne til å utføre infeksjonen selv. Etter hvert som operativsystemene blir sikrere, har denne metoden blitt både raskere og mer effektiv.

Det gjør brukernes bevissthet til en av de viktigste forsvarsmekanismene mot denne typen trusler.

Kontroller kommandoer før du kjører dem

Brukere bør aldri kopiere og kjøre Terminal-kommandoer fra nettsteder uten å forstå nøyaktig hva kommandoen gjør og stole på kilden som har publisert den.

Seriøse nettsteder krever ikke at brukere benytter Terminal for å verifisere nettleseren eller få tilgang til innhold. Alle sider som ber om dette, bør derfor behandles som mistenkelige.

Ved å kontrollere uventede instruksjoner før de følges, kan brukere redusere risikoen for malwareinfeksjoner som fører til stjålne innloggingsopplysninger, tømming av kryptolommebøker og langvarig tilgang til personlige enheter.