Group-IB công bố macOS stealer ClickLock lừa người dùng dán lệnh Terminal
"Group-IB documented a previously unseen macOS information stealer, ClickLock Stealer, which uses ClickFix-style social engineering to trick users into pasting a command into Terminal. The malware steals browser data, passwords, crypto wallet information, Keychain items, and other credentials, while also using fake verification prompts, persistence, and app-killing behavior to coerce victims; no software exploit or elevated privileges are required."
Tác động lớn vì chuỗi tấn công dựa vào niềm tin của người dùng khi dán lệnh Terminal, dẫn tới đánh cắp thông tin đăng nhập và dữ liệu ví/Keychain. Các điểm then chốt gồm: không cần exploit/đặc quyền, đánh cắp đa nguồn (trình duyệt, Keychain, ví tiền).
Rủi ro vận hành và tuân thủ tăng do khả năng mất tài khoản và dữ liệu nhạy cảm trên thiết bị người dùng. Điểm cần lưu ý: tác động lan rộng theo nhiều quốc gia, và khả năng duy trì tấn công qua cơ chế persistence khi reboot.
Nhóm nghiên cứu Group-IB vừa công bố một macOS information stealer mới, được đặt tên là ClickLock Stealer. Điểm đáng chú ý là mã độc không cần khai thác lỗ hổng hay leo thang đặc quyền; thay vào đó, nó dựa vào social engineering kiểu ClickFix để khiến nạn nhân tự thực thi lây nhiễm.
Theo báo cáo, ClickLock hoạt động từ khoảng tháng 5 và đã nhắm tới ít nhất 100 nạn nhân tại 33 quốc gia, trong đó hơn một nửa ở châu Âu. Nhóm nghiên cứu phát hiện phần mềm độc hại sau khi phân tích một malicious shell script được tải lên VirusTotal vào ngày 9/6, thời điểm đó chưa có phát hiện từ antivirus.
Quy trình tấn công thường bắt đầu khi nạn nhân truy cập các trang giả mạo quy trình xác minh (nhóm mô tả có liên quan Cloudflare verification), sau đó được yêu cầu dán lệnh vào Terminal. Khi lệnh được thực thi, mã độc âm thầm tải thêm thành phần, đánh cắp dữ liệu từ trình duyệt, crypto wallet extensions, password manager extensions, macOS Keychain, shell history, FTP credentials và địa chỉ blockchain. ClickLock cũng dùng một phiên bản chỉnh sửa của GSocket để hỗ trợ truy cập từ xa.
Khuyến nghị: người dùng và đội vận hành cần cảnh giác với yêu cầu mở Terminal/dán lệnh từ website lạ; giám sát prompt mật khẩu bất thường, hành vi đóng ứng dụng lặp lại, và lưu lượng gửi dữ liệu bị đánh cắp qua Telegram.