Il malware ClickLock su Mac usa un falso controllo CAPTCHA per convincere l’utente a eseguire un comando nel Terminale. Poi chiude continuamente le applicazioni e mostra una falsa richiesta della password, tentando di rubare credenziali, dati dei browser e wallet crypto.

Un nuovo malware sta prendendo di mira gli utenti macOS attraverso una tecnica particolarmente insistente: si chiama ClickLock Stealer e non sfrutta una vulnerabilità tradizionale.

L’attacco funziona soprattutto grazie all’ingegneria sociale. La vittima viene convinta a copiare un comando e incollarlo nel Terminale del Mac.

Una volta avviato, ClickLock trasforma il computer in una trappola. Finder, browser e strumenti di sistema continuano a chiudersi, mentre compare una finestra che chiede la password.

ClickLock su Mac parte da un falso CAPTCHA

L’infezione può iniziare visitando una pagina che imita i controlli di sicurezza di Cloudflare. Il sito sostiene di dover verificare che il visitatore sia una persona reale.

Invece del classico pulsante, però, vengono mostrate istruzioni insolite. L’utente deve copiare un comando, aprire Terminale e incollarlo manualmente.

Questa procedura appartiene alla tecnica chiamata ClickFix. I criminali presentano il comando come una soluzione necessaria per completare una verifica o correggere un problema.

Un controllo CAPTCHA autentico non richiede mai di aprire Terminale. Inoltre, non chiede di eseguire script o comandi copiati da una pagina web.

ClickLock non entra quindi nel Mac senza interazione. È la vittima ad avviare il codice, convinta di seguire una procedura sicura.

Il malware può scaricare diversi moduli dedicati al furto di dati. Inoltre, prepara il sistema per continuare l’attacco anche dopo il riavvio.

Le applicazioni vengono chiuse ogni 210 millisecondi

Quando l’utente rifiuta la falsa richiesta della password, ClickLock passa a una strategia più aggressiva.

Il malware installa elementi che vengono caricati durante l’accesso successivo. A quel punto inizia a chiudere i principali processi visibili ogni 210 millisecondi.

Tra le applicazioni coinvolte troviamo Finder, Dock, Spotlight, Terminale e Monitoraggio Attività. Possono venire chiusi anche i browser più diffusi.

Di conseguenza, utilizzare normalmente il computer diventa quasi impossibile. L’utente continua a vedere una finestra che sembra appartenere a macOS e richiede la password di accesso.

Il ciclo può proseguire per circa 83 ore, quindi oltre tre giorni. Questa pressione punta a stancare la vittima e convincerla a inserire le credenziali.

La schermata non rappresenta una richiesta autentica del sistema. Inserendo la password, infatti, l’utente la consegna direttamente al malware.

ClickLock su Mac può rubare molti dati

Dopo aver ottenuto la password, ClickLock tenta di raccogliere informazioni da browser, portafogli digitali e strumenti utilizzati quotidianamente.

La minaccia può cercare credenziali salvate, cookie, dati di compilazione automatica e sessioni di accesso. Queste informazioni possono permettere di entrare negli account senza conoscere nuovamente la password.

Nel mirino compaiono anche le estensioni dedicate alle criptovalute: ClickLock può raccogliere informazioni collegate a wallet e indirizzi utilizzati su diverse blockchain.

Il malware cerca inoltre dati appartenenti ai password manager. Le analisi indicano il supporto per numerosi browser, estensioni crypto e applicazioni desktop.

Anche il Portachiavi di macOS può diventare un bersaglio. Qui possono trovarsi password, certificati e altre informazioni protette dal sistema.

I dati raccolti vengono compressi in un archivio e inviati attraverso la Telegram Bot API. Inoltre, ClickLock può installare una backdoor per mantenere l’accesso remoto al computer.

La campagna avrebbe colpito almeno 100 sistemi in 33 Paesi. Più della metà dei casi individuati riguarda l’Europa, con l’Italia tra le aree interessate.

Come evitare ClickLock su Mac

La regola più importante è semplice: nessun sito affidabile chiede di incollare comandi nel Terminale per completare un CAPTCHA.

Bisogna diffidare anche dalle pagine che mostrano urgenza, conto alla rovescia o presunti problemi tecnici. Questi elementi servono spesso a ridurre il tempo disponibile per riflettere.

macOS può mostrare un avviso quando rileva il tentativo di incollare un comando sospetto nel Terminale. Non bisogna ignorare il messaggio scegliendo di procedere comunque.

Conviene inoltre mantenere macOS e le applicazioni sempre aggiornati. Le protezioni integrate migliorano nel tempo, ma non possono fermare ogni comando autorizzato volontariamente dall’utente.

Apple consiglia di scaricare software soltanto da fonti conosciute. È meglio evitare anche applicazioni, script e file ricevuti attraverso siti, messaggi oppure email poco affidabili.

Cosa fare quando compare la falsa password

Quando Finder e le applicazioni iniziano a chiudersi, non bisogna inserire la password. Spegnere il Mac interrompe temporaneamente il ciclo.

Il computer può essere riavviato in modalità sicura, che limita il software caricato durante l’avvio. La procedura cambia tra Mac con chip Apple e modelli Intel.

Inoltre, è consigliabile scollegare il dispositivo dalla rete. Un tecnico specializzato può poi verificare elementi di avvio, processi persistenti e possibili backdoor.

Se la password è già stata inserita, bisogna considerarla compromessa. Occorre cambiarla utilizzando un dispositivo pulito e modificare anche le credenziali salvate nel browser o nei password manager.

Conviene terminare le sessioni attive degli account più importanti. Chi utilizza wallet crypto dovrebbe controllare immediatamente attività, autorizzazioni e trasferimenti sospetti.

ClickLock mostra ancora una volta che un Mac non è immune dal malware. In questo caso, la protezione più efficace resta riconoscere la trappola prima di aprire Terminale.