ClickLock Stealer lurar macOS-användare att installera skadlig kod

En ny malwarekampanj riktar in sig på Mac-användare genom att använda en enkel men effektiv metod. I stället för att utnyttja säkerhetsbrister lurar ClickLock Stealer användare att själva infektera sina datorer genom att följa falska säkerhetsinstruktioner.

Attacken börjar med en bedräglig verifieringssida som påstår att användaren måste genomföra ett extra säkerhetssteg innan en webbplats kan öppnas. Offret uppmanas därefter att kopiera och köra ett kommando i macOS Terminal. När kommandot körs installeras skadlig kod i bakgrunden utan att väcka misstankar.

Kampanjen visar hur cyberkriminella i allt större utsträckning använder social manipulation i stället för tekniska sårbarheter.

Falska verifieringssidor sprider skadlig kod

Till skillnad från många traditionella malwarekampanjer bygger ClickLock Stealer inte på säkerhetsbrister i programvara.

I stället visas trovärdiga verifieringssidor som ser ut att komma från en legitim tjänst. Sidorna påstår att webbläsarkontrollen har misslyckats och uppmanar användaren att köra ett Terminal-kommando för att fortsätta.

Eftersom användaren själv startar kommandot kan angriparna kringgå många av de skydd som normalt stoppar obehöriga programinstallationer.

Malware stjäl känslig information

När ClickLock Stealer har installerats börjar den söka efter värdefull information på datorn.

Forskarna har sett att malwarefamiljen kan stjäla sparade inloggningsuppgifter, autentiseringstoken, data från kryptoplånböcker och information som lagras i macOS Keychain. Den samlar också in Terminal-historik och annan systeminformation som kan hjälpa angriparna att komma åt fler konton.

Skadlig kod har stöd för ett stort antal kryptoplånböcker och flera populära webbläsare, vilket gör den särskilt farlig för användare som lagrar digitala tillgångar på sina Mac-datorer.

Angriparna behåller åtkomsten

ClickLock Stealer nöjer sig inte med att stjäla information.

Malwaren installerar även en bakdörr som gör det möjligt för angriparna att återansluta till den infekterade datorn när som helst. På så sätt kan de installera ytterligare skadlig kod eller fortsätta samla in information under en längre tid.

Forskarna identifierade dessutom en inbyggd funktion som pressar användaren att slutföra den falska verifieringen. Om offret försöker avbryta processen stänger malware upprepade gånger öppna program för att få datorn att verka instabil.

Social manipulation driver attackerna

ClickLock Stealer visar hur cyberkriminella förändrar sina metoder.

I stället för att leta efter tekniska säkerhetsbrister försöker de få användarna att själva genomföra infektionen. I takt med att operativsystemen blir säkrare har den här metoden blivit både snabbare och mer effektiv.

Det gör användarnas medvetenhet till en av de viktigaste försvarsåtgärderna mot den här typen av hot.

Kontrollera kommandon innan du kör dem

Användare bör aldrig kopiera och köra Terminal-kommandon från webbplatser om de inte förstår exakt vad kommandot gör och litar på källan.

Seriösa webbplatser kräver inte att besökare använder Terminal för att verifiera webbläsaren eller få tillgång till innehåll. Alla sidor som ger sådana instruktioner bör därför betraktas som misstänkta.

Genom att kontrollera oväntade instruktioner innan de följs kan användare minska risken för malwareinfektioner som leder till stulna inloggningsuppgifter, tömda kryptoplånböcker och långvarig åtkomst till personliga enheter.