È stato individuato un nuovo malware per macOS chiamato ClickLock Stealer, progettato per spingere gli utenti a consegnare volontariamente la propria password attraverso una sequenza di falsi avvisi di sistema.
Il caso è rilevante perché mostra un approccio molto diretto ma efficace: invece di forzare il sistema, il malware punta sulla pressione psicologica e su schermate ingannevoli che imitano controlli di sicurezza del browser o verifiche in stile Cloudflare.
Come funziona ClickLock Stealer su Mac
L’infezione parte da una pagina ingannevole che si presenta come controllo di sicurezza o verifica del browser e chiede di copiare un comando in Terminale. Dopo l’esecuzione, viene lanciato uno script che scarica in modo discreto vari moduli e mostra una falsa schermata di caricamento, costruita per sembrare un passaggio tecnico legittimo.
Il punto più aggressivo arriva quando compare la richiesta della password. Se l’utente rifiuta, il malware rende il Mac quasi inutilizzabile: chiude tutte le app visibili ogni 210 millisecondi finché la finestra resta sullo schermo. In parallelo, un altro processo tenta di sopprimere le notifiche di sicurezza di macOS per circa sei ore, riducendo ulteriormente le possibilità di reazione.
- Non usa exploit noti e non richiede privilegi amministrativi iniziali.
- Si basa sull’azione dell’utente, che incolla e avvia un comando in Terminale.
- Imita controlli browser e verifiche simili a Cloudflare per apparire credibile.
- Blocca di fatto l’uso del desktop finché la password non viene inserita.
Quali informazioni può sottrarre e perché il rischio è alto
Se l’utente inserisce la password, il malware mostra poi una seconda finestra autentica di macOS e la porta in primo piano per chiedere l’accesso a un elemento del Portachiavi. Se l’autorizzazione viene concessa, ottiene la chiave AES di Chrome Safe Storage, usata dal browser per cifrare password salvate e cookie.
A quel punto ClickLock può raccogliere credenziali del browser, dati del Portachiavi, archivi dei password manager e wallet di criptovalute, inviando tutto a un bot Telegram. Inoltre installa una backdoor nascosta, mascherata da processo iCloud, così da mantenere un accesso continuativo anche dopo il furto iniziale.
- Può sottrarre password e cookie salvati nel browser.
- Può accedere ai dati del Portachiavi e ai vault dei password manager.
- Prende di mira anche wallet di criptovalute.
- I dati raccolti vengono inviati a un bot Telegram.
- Installa una backdoor camuffata da processo iCloud.
Campagna attiva da maggio e contromisure già introdotte in macOS
La campagna risulta attiva da maggio 2026 e ha colpito almeno 100 vittime in 33 Paesi, con oltre la metà dei casi rilevati in Europa. Si tratta quindi di una minaccia concreta e già distribuita su scala internazionale, non di un test isolato.
Apple ha già introdotto una difesa specifica in macOS Tahoe 26.4: quando l’utente prova a incollare in Terminale un comando proveniente da un sito, da una chat o da un messaggio, il sistema mostra un avviso e blocca l’azione finché il contenuto non viene rivisto. Nei casi in cui macOS riconosce malware noto, l’incolla viene bloccato completamente senza possibilità di conferma.
- Campagna attiva da maggio 2026.
- Almeno 100 vittime identificate in 33 Paesi.
- Più della metà dei casi registrati in Europa.
- macOS Tahoe 26.4 aggiunge un controllo specifico per l’incolla in Terminale.
- Un sito legittimo non chiede mai di incollare comandi in Terminale.
