Un nuovo malware per macOS chiamato ClickLock Stealer sta mettendo a rischio gli utenti con una tecnica di coercizione psicologica. Scoperto dalla società di sicurezza Group-IB, il malware non sfrutta exploit di sistema né privilegi elevati: si basa invece sull'inganno per convincere la vittima a incollare un comando nel Terminale. Una volta eseguito, il malware blocca progressivamente il computer, mostrando continue richieste di password fino a che l'utente non cede. I dati rubati includono credenziali del browser, portachiavi, portafogli cryptocurrency e persino le password salvate nei gestori di password. L'attacco è attivo da maggio 2026 e ha già colpito oltre cento vittime in 33 paesi, con più della metà in Europa.
Il funzionamento del ClickLock Stealer: nessun exploit, solo un comando da terminale
Group-IB non ha osservato direttamente come le vittime vengono indotte a incollare il comando, ma la dinamica è chiara. Il malware viene distribuito tramite una falsa pagina ClickFix che si spaccia per un controllo Cloudflare o un passaggio di verifica del browser. La pagina chiede all'utente di copiare un comando e incollarlo nel Terminale per completare la verifica. Una volta eseguito, lo script scarica silenziosamente diversi moduli e mostra un'animazione di caricamento simile a quella di Cloudflare. Se l'utente rifiuta la richiesta iniziale di password, il malware inizia a bloccare l'uso del sistema: uccide ogni applicazione visibile ogni 210 millisecondi, rendendo il desktop inutilizzabile fino a quando la password non viene inserita. Un loop separato sopprime le notifiche di sicurezza di macOS per circa sei ore, impedendo all'utente di accorgersi dell'attacco.
Sponsored Protocol
Come la falsa pagina ClickFix inganna le vittime e ruba le chiavi di crittografia
Se la vittima cede e digita la password, a quel punto appare un secondo prompt genuino di macOS che chiede di autorizzare l'accesso a un elemento del portachiavi. Concedere l'accesso consegna al malware la chiave AES di Chrome Safe Storage, utilizzata dal browser per crittografare password e cookie salvati. A questo punto ClickLock ha tutto il necessario per estrarre qualsiasi dato: credenziali del browser, dati del portachiavi, vault dei gestori di password e portafogli cryptocurrency. Tutto viene inviato a un bot Telegram. Inoltre viene installata una backdoor nascosta sotto forma di processo iCloud per garantire un accesso continuo al sistema. La campagna, secondo Group-IB, ha colpito prevalentemente Europa, con oltre metà delle vittime localizzate nel continente.
Sponsored Protocol
Le misure difensive di Apple e Opera: bloccare i comandi incollati nel Terminale
Apple ha già aggiornato macOS per contrastare questa classe di attacchi. In macOS Tahoe 26.4 è stato aggiunto un avviso che compare quando l'utente tenta di incollare un comando nel Terminale da un sito web, chat o messaggio: la pasta viene bloccata finché l'utente non la esamina. Se il sistema rileva un malware noto, il blocco è totale e non può essere annullato. Anche il browser Opera ha introdotto una funzionalità simile. Resta fondamentale ricordare che nessun sito web legittimo chiederà mai di incollare comandi nel Terminale. Per approfondire altre minacce informatiche, leggi l'articolo sulle app militari USA che contenevano codici cinesi e russi, un caso che evidenzia la diffusione di codice non sicuro in software critici. Per una panoramica generale, si può consultare la voce Malware su Wikipedia.
Sponsored Protocol
Fonte: https://www.macrumors.com/2026/07/20/clicklock-malware-mac-users-giving-up-passwords
