Un nuovo malware per Mac sta usando una tecnica molto aggressiva per rubare password, dati sensibili e wallet crypto. Si chiama ClickLock Stealer ed è stato identificato da Group-IB come una minaccia già attiva nel mondo reale, con vittime in diversi Paesi e una forte concentrazione in Europa.
La cosa più preoccupante è che ClickLock non ha bisogno di sfruttare vulnerabilità complesse o permessi speciali. Tutto parte da un inganno: l’utente viene convinto a copiare e incollare un comando nel Terminale, spesso attraverso una falsa pagina di verifica che imita Cloudflare o un controllo del browser.
Come funziona ClickLock su Mac
La tecnica ricorda le campagne “ClickFix”, sempre più usate dai malware moderni. L’utente visita una pagina apparentemente legittima, vede un finto controllo di sicurezza e riceve istruzioni per incollare un comando nel Terminale come se fosse un passaggio necessario per completare la verifica.
Una volta eseguito il comando, lo script scarica i moduli del malware e mostra una falsa animazione di caricamento simile a una verifica Cloudflare. Subito dopo iniziano i prompt per chiedere la password del Mac. Se l’utente rifiuta, ClickLock rende il sistema quasi inutilizzabile: chiude continuamente le app visibili, inclusi Finder, Dock, Terminale e Monitoraggio Attività, così da spingere la vittima a cedere. Secondo le analisi riportate da BleepingComputer, il malware termina i processi ogni 210 millisecondi mentre continua a mostrare la richiesta di password.
Cosa ruba ClickLock
Se la password viene inserita, ClickLock può accedere a una quantità enorme di dati. Il malware punta a credenziali salvate nei browser, cookie, dati di compilazione automatica, password manager, informazioni del Portachiavi e wallet di criptovalute. I dati rubati vengono raccolti in un archivio e inviati agli attaccanti tramite Telegram Bot API.
Il passaggio più delicato riguarda Chrome e gli altri browser basati su Chromium. Dopo aver ottenuto la password del Mac, ClickLock può forzare un vero prompt di macOS per accedere a un elemento del Portachiavi e ottenere la chiave usata dal browser per proteggere password e cookie. A quel punto i dati possono essere decifrati e usati anche fuori dal dispositivo.
Il malware installa anche componenti persistenti, camuffati da processi apparentemente legati a iCloud, così da mantenere l’accesso al sistema anche dopo il primo attacco.
Apple ha già aggiunto una protezione in macOS
Apple ha introdotto una difesa specifica contro questo tipo di truffe in macOS Tahoe 26.4. Quando un utente prova a incollare nel Terminale un comando copiato da un sito web, una chat, un messaggio o un’email, macOS mostra un avviso e blocca l’incolla fino a quando l’utente non lo controlla. Se il sistema riconosce malware noto, il comando può essere bloccato direttamente senza possibilità di procedere.
È una protezione utile, ma non basta da sola. Il punto centrale resta il comportamento dell’utente. Nessun sito legittimo dovrebbe chiedere di incollare un comando nel Terminale per superare una verifica, completare un CAPTCHA o sbloccare una pagina.
Come proteggersi
La regola principale è molto semplice: non incollare mai comandi nel Terminale presi da siti web, messaggi, email o presunte verifiche online, a meno di sapere esattamente cosa fanno. Un controllo Cloudflare reale non richiede mai di aprire il Terminale.
Bisogna diffidare anche di richieste di password che compaiono dopo un comando eseguito manualmente, soprattutto se il Mac inizia a chiudere app, bloccare finestre o comportarsi in modo strano. In quel caso è meglio spegnere il Mac, scollegarlo dalla rete e chiedere assistenza, invece di inserire credenziali a caso.
Conviene anche tenere macOS aggiornato, usare browser aggiornati, attivare l’autenticazione a due fattori sugli account importanti e non conservare frasi seed o chiavi private crypto in file facilmente accessibili sul Mac.
Se la password del Mac è stata inserita in una finestra sospetta, bisogna agire subito. La priorità è cambiare la password dell’account macOS e poi intervenire sugli account più importanti: Apple Account, email principale, password manager, banca, servizi cloud e social.
Se sul Mac erano presenti wallet crypto, la situazione è più urgente: meglio spostare i fondi su un nuovo wallet creato da un dispositivo pulito. Le chiavi o seed phrase presenti sul Mac potrebbero essere già compromesse.
È consigliabile anche eseguire una scansione con un software di sicurezza affidabile, controllare gli elementi di login, verificare eventuali profili o agenti sospetti e, nei casi più seri, valutare un backup dei dati essenziali seguito da una reinstallazione pulita di macOS.
Prova la nuova sezione commenti!