"ClickLock Stealer"通过社会工程学和进程终止绕过 macOS 安全防护

一款名为 ClickLock Stealer 的新型 macOS 恶意软件利用社会工程学和进程终止技术，绕过操作系统的保护机制，从受害者处获取有价值的信息。
网络安全公司 Group-IB 于 6 月初发现了 ClickLock Stealer，该恶意软件似乎至少从 5 月底就已存在。研究人员表示，它已针对 33 个国家的至少 100 名用户，其中超过一半位于欧洲。
该窃密软件旨在从受感染系统中收集各类数据，包括网页浏览器、加密货币钱包及钱包扩展程序，以及密码管理器扩展程序。它还可以从六条区块链上窃取区块链地址，并针对 macOS Keychain、FTP 凭证和 shell 历史记录进行攻击。窃取的数据会被添加到一个存档文件中，并通过 Telegram 机器人外传。
虽然 Group-IB 的研究人员无法确切确定 ClickLock Stealer 的分发方式，但他们认为威胁行为者可能使用了 SEO 投毒、社交媒体帖子或被入侵的网站，诱使受害者进入一个伪装成 Cloudflare 验证的 ClickFix 攻击页面。
进入该页面的用户会被指示复制一条 bash 命令，粘贴到 macOS 的终端中并执行。一旦该命令运行，一个编排脚本文件就会被下载并执行，该脚本随后会获取另外四个脚本，分别代表一个凭证窃密器、一个加密货币窃密器、一个 Keychain 窃密器和后门安装器。
后门会保留在被入侵的机器上，但其他脚本在窃取到目标数据并将其发送回攻击者后就会被移除。
macOS 的设计和内置保护机制使得部署恶意软件更加困难。然而，ClickLock Stealer 主要通过社会工程学成功实现攻击，因为该恶意软件是由受害者使用自己的权限直接下载并执行的。与其他恶意软件不同，它不需要利用漏洞或进行权限提升。
为了访问目标数据，该恶意软件采用了激进的进程终止循环。编排组件会显示一个伪造的 macOS 对话框来获取用户的密码，并终止所有可见进程，使得屏幕上只显示密码窗口，直到受害者输入密码。
"一个后台循环还会持续终止 macOS NotificationCenter 大约 6 小时，抑制任何可能提醒受害者的 Gatekeeper 或安全警告，"Group-IB 在描述 ClickLock Stealer 的博文中解释道。
其他组件也会积极终止受害者可能用于分析或阻止攻击的应用程序。凭证窃密组件还会显示一个伪造的 macOS 密码对话框，并在一个长循环中保持其打开状态，同时终止其他应用程序，迫使受害者输入密码。
当恶意软件向 macOS Keychain 查询 Chrome Safe Storage 加密密钥（该密钥用于保护密码和其他浏览器数据）时，系统会提示用户授权该操作。同样，所有进程都会被终止，直到用户同意并授予 Keychain 访问权限。