În acest material discutăm despre ClickLock, un malware pentru sistemele Mac care are ca scop „interceptarea” parolelor utilizatorilor.
Un nou tip de malware pentru macOS atrage atenția cercetătorilor în securitate cibernetică printr-o metodă neobișnuită de a obține parolele utilizatorilor. Denumit ClickLock, malware-ul nu se bazează în principal pe exploatarea unei vulnerabilități tehnice, ci pe inginerie socială și pe blocarea interacțiunii cu sistemul până când victima introduce parola de autentificare.
Amenințarea este cu atât mai relevantă pentru companii, cu cât ClickLock urmărește o gamă largă de informații sensibile. Printre datele vizate se numără parolele salvate în browsere, cookie-urile, datele de completare automată, informațiile din portofelele de criptomonede, datele asociate managerelor de parole și informațiile de autentificare ale sistemului macOS.
Cazul evidențiază faptul că securitatea unui sistem Apple nu depinde exclusiv de mecanismele integrate în sistemul de operare. Chiar și atunci când nu este exploatată o vulnerabilitate tehnică, un utilizator poate fi manipulat să execute comenzi sau să furnizeze date de autentificare. Din acest motiv, protecția eficientă trebuie să combine soluții tehnice, actualizări regulate și instruirea utilizatorilor.
ClickLock folosește ingineria socială pentru a obține parolele macOS
Malware-ul ClickLock a fost identificat după ce scriptul său a apărut pe VirusTotal, iar investigațiile au indicat că amenințarea ar fi afectat cel puțin 100 de sisteme din 33 de țări începând din luna mai.
Atacul pare să înceapă printr-o schemă de tip ClickFix. Victima este determinată să copieze și să introducă în Terminal o comandă prezentată ca parte a unei verificări de securitate sau a unei verificări Cloudflare. În realitate, comanda inițiază descărcarea și executarea componentelor malware.
În timpul procesului, ClickLock poate ascunde cursorul Terminalului, dezactiva anumite întreruperi de la tastatură și suprima notificările macOS pentru o perioadă de aproximativ șase ore. Aceste acțiuni pot face mai dificilă observarea comportamentului malițios.
Un mecanism conceput pentru a forța introducerea parolei
Una dintre cele mai periculoase componente ale ClickLock este mecanismul prin care malware-ul încearcă să obțină parola de autentificare a sistemului. Scriptul afișează o fereastră falsă de autentificare macOS, folosind numele real al utilizatorului și elemente grafice care pot face dialogul să pară legitim.
Dacă parola este introdusă, aceasta este verificată și transmisă atacatorilor. În cazul în care utilizatorul încearcă să închidă fereastra, malware-ul poate instala mecanisme de persistență și poate relua atacul la următoarea autentificare.
În anumite situații, ClickLock intră într-o buclă agresivă în care închide repetat aplicații esențiale precum Finder, Dock, Terminal, Activity Monitor, Console, System Settings, Spotlight și browserele web. Astfel, utilizatorul poate rămâne cu o interfață limitată și cu o fereastră de solicitare a parolei afișată pe ecran.
S-a descoperit că una dintre aceste bucle poate continua aproximativ 83 de ore sau până la introducerea parolei corecte. O altă componentă încearcă să obțină autorizarea pentru accesarea unor chei utilizate de Chrome, ceea ce poate permite decriptarea unor parole, cookie-uri și date de completare automată stocate local.
Ce date poate colecta malware-ul
ClickLock nu se limitează la furtul parolei de autentificare macOS. Componenta de colectare a datelor poate viza informații din mai multe browsere, inclusiv Chrome, Firefox, Brave, Edge, Opera, Vivaldi, Arc și Chromium.
Datele urmărite pot include:
- parole și alte date de autentificare salvate;
- cookie-uri și informații de sesiune;
- date de completare automată;
- marcaje și date din spațiul local al browserului;
- informații asociate extensiilor de portofele de criptomonede;
- fișiere și date asociate portofelelor desktop;
- informații provenite din extensii de manageri de parole;
- istoricul comenzilor introduse în shell;
- date de configurare FileZilla;
- informații de bază despre sistem și adresa IP publică.
Datele colectate sunt arhivate și transmise atacatorilor prin Telegram Bot API. În plus, ClickLock poate instala un backdoor persistent, bazat pe o versiune modificată a instrumentului open-source GSocket, care permite accesul de la distanță și deschiderea unui reverse shell.
Detectarea poate fi dificilă
Una dintre problemele ridicate de ClickLock este fereastra redusă de detecție. Cercetătorii au observat că unele componente ale malware-ului se șterg singure după execuție, iar payload-urile pot fi găzduite pe domenii legitime compromise, cu o reputație aparent bună.
Totuși, activitatea generată de malware poate oferi indicii. Printre comportamentele suspecte se numără lansarea unor dialoguri de autentificare prin osascript, închiderea repetată a unor procese, accesarea în masă a directoarelor de profil ale browserelor și conexiunile către API-ul Telegram.
Unul dintre cele mai importante avertismente pentru utilizatori este evitarea comenzilor Terminal copiate de pe internet atunci când scopul și conținutul acestora nu sunt înțelese. O pagină web care solicită utilizatorului să deschidă Terminalul și să introducă o comandă poate reprezenta o tentativă de compromitere a sistemului, chiar dacă pagina pare profesională sau afișează elemente vizuale asociate unor servicii cunoscute.
În cazul în care sistemul devine aparent blocat și este afișată o solicitare neobișnuită de introducere a parolei, recomandarea cercetătorilor este oprirea forțată a sistemului și pornirea în Safe Mode pentru investigarea și recuperarea sistemului.
Protejarea sistemelor Mac ale companiei
Protecția sistemelor Mac utilizate într-o companie trebuie să se bazeze pe mai multe niveluri de securitate. Nicio soluție individuală nu poate elimina complet riscul, însă combinarea măsurilor tehnice cu politici clare pentru utilizatori poate reduce semnificativ probabilitatea unei compromiteri.
Antivirus și soluții de securitate
Un antivirus sau o soluție de tip endpoint protection dedicată mediului macOS poate contribui la identificarea comportamentelor suspecte, a scripturilor malițioase și a activităților neobișnuite ale aplicațiilor.
Pentru companii, este recomandată utilizarea unei soluții centralizate, care permite administrarea mai multor dispozitive, aplicarea unor politici de securitate și monitorizarea evenimentelor. În cazul organizațiilor cu bugete limitate, pot fi analizate și soluții gratuite sau open-source, însă acestea trebuie evaluate în funcție de nivelul de suport, actualizările disponibile și capacitatea de monitorizare.
Soluțiile comerciale licențiate pot oferi funcții suplimentare, precum protecție în timp real, detectarea comportamentelor suspecte, controlul aplicațiilor și administrarea centralizată. Alegerea trebuie făcută în funcție de dimensiunea companiei, tipul de date procesate și nivelul de risc.
Utilizarea software-ului licențiat sau verificat
Aplicațiile instalate pe sistemele companiei trebuie descărcate din surse oficiale și verificate. Software-ul piratat, crack-urile și utilitarele distribuite pe site-uri nesigure reprezintă o sursă frecventă de malware.
Chiar și aplicațiile care par utile sau legitime pot fi modificate pentru a include componente malițioase. Pentru acest motiv, companiile ar trebui să mențină o listă de aplicații aprobate și să limiteze instalarea software-ului neautorizat.
Utilizarea unui adblocker
Un adblocker poate reduce expunerea la reclame malițioase, ferestre pop-up și redirecționări către pagini frauduloase. Deși nu reprezintă o soluție antivirus, acesta poate elimina o parte dintre vectorii utilizați pentru distribuirea malware-ului și a campaniilor de phishing.
În mediul corporate, utilizarea unui adblocker poate fi inclusă într-o strategie mai largă de securizare a navigării pe internet, alături de filtrarea domeniilor malițioase și de protecția DNS.
Actualizări periodice pentru sistem și aplicații
Sistemul de operare, browserele și aplicațiile instalate trebuie actualizate periodic. Actualizările pot include remedieri pentru vulnerabilități care ar putea fi exploatate de atacatori.
Companiile ar trebui să aibă un proces clar pentru instalarea actualizărilor și să evite situațiile în care dispozitivele rămân perioade lungi fără patch-uri de securitate. Este importantă și actualizarea soluțiilor de securitate, astfel încât acestea să poată identifica amenințări noi și comportamente malițioase.
Instruirea angajaților
În cazul ClickLock, comportamentul utilizatorului reprezintă un element central al atacului. Din acest motiv, instruirea angajaților este la fel de importantă precum instalarea unui antivirus.
Angajații trebuie să știe că nu trebuie să copieze și să execute în Terminal comenzi furnizate de pagini web, mesaje sau persoane necunoscute fără o verificare prealabilă. De asemenea, o solicitare neobișnuită de introducere a parolei, mai ales atunci când sistemul se comportă anormal, trebuie tratată ca un posibil incident de securitate.
Concluzie
ClickLock demonstrează că atacurile asupra sistemelor macOS nu trebuie să se bazeze întotdeauna pe exploatarea unor vulnerabilități complexe. Prin inginerie socială și prin manipularea interacțiunii cu sistemul, un malware poate încerca să determine utilizatorul să își dezvăluie chiar parola de autentificare.
Pentru companii, cazul reprezintă un nou avertisment privind necesitatea unei strategii de securitate în mai multe straturi. Soluțiile antivirus sau endpoint protection, utilizarea software-ului licențiat și verificat, un adblocker, actualizările regulate și instruirea angajaților trebuie să facă parte dintr-un plan coerent de protecție.
În același timp, utilizatorii trebuie să trateze cu suspiciune orice pagină care le solicită să deschidă Terminalul și să execute comenzi pe care nu le înțeleg. În cazul ClickLock, prevenirea începe cu evitarea unei singure acțiuni riscante: executarea unui cod necunoscut doar pentru a trece de o presupusă verificare de securitate.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).
