ClickFix-Angriffe macOS zeigen einmal mehr, wie gefährlich vermeintlich harmlose „Kopieren und Einfügen“-Aufforderungen sein können. Laut aktuellen Beobachtungen nutzen Angreifer eine ClickFix-ähnliche Vorgehensweise, um eine Go-basierte Malware auf macOS-Systeme zu bringen. Diese zielt nicht nur auf Passwörter und gespeicherte Zugangsdaten, sondern kann Kryptowährungs-Accounts schrittweise leeren.
Besonders brisant: Der Ablauf ist so aufgebaut, dass zuerst ein Skript die Umgebung ausliest und anschließend eine passende Schadsoftware nachlädt – abgestimmt auf die Architektur des betroffenen Computers. Damit steigt die Trefferquote, weil die Infektion für jedes Zielsystem „passend“ geladen wird.
Wie ClickFix-Angriffe macOS starten
Der Einstieg erfolgt über eine täuschende Anweisung, bei der Nutzer einen Befehl in die Terminal-App einfügen. Genau dieser Schritt triggert eine Bash-Komponente, die als Profiler/Loader fungiert. Sie sammelt dabei umfangreiche Systeminformationen, um anschließend eine passende Payload zu holen.
Im nächsten Schritt wird eine Mach-O-Komponente nachgeladen, die zur Prozessorarchitektur des Opfers passt. Dieser sogenannte „Staging“-Gedanke ist entscheidend: Statt eine einzige universelle Datei zu liefern, stellt die Kette sicher, dass die Malware auch wirklich auf dem Zielsystem lauffähig ist.
Was die Go-basierte Malware auf macOS stiehlt
Die eigentliche Schadsoftware ist als Go-basierter Stealer beschrieben. Ihr Funktionsumfang geht über klassischen Credential-Diebstahl hinaus. Zu den erfassten Daten zählen unter anderem:
- Passwörter aus Browsern
- Daten aus dem Apple iCloud Keychain
- Zwischengespeicherte Zugangsdaten („cached credentials“)
Die gesammelten Informationen werden anschließend an einen Server übermittelt, der von den Tätern betrieben wird. Damit entsteht ein vollständiger Kreislauf: Daten einsammeln, ausleiten, die Konten später missbrauchen.
Warum der Angriff auch Credentials „erschleicht“
Wie viele macOS-Stealer versucht auch diese Familie, zusätzliche Berechtigungen zu erreichen. Dazu wird eine gefälschte Eingabeaufforderung eingesetzt, die Nutzer dazu bringt, Systemanmeldeinformationen einzugeben.
Der Social-Engineering-Ansatz ist dabei an eine „unerwartete Systemfehler“-Darstellung gekoppelt. Zusätzlich werden offenbar beschädigte Systemdateien wiederhergestellt, um sichtbare Spuren zu reduzieren und den Betrieb des Systems möglichst unauffällig fortzusetzen.
Der „DRAIN“-Teil: Kryptowallets werden schrittweise abgezogen
Was den beschriebenen Fall besonders hervorhebt, ist eine zusätzliche Routine, die als „DRAIN“ bezeichnet wird. Diese prüft, ob in einer Kryptowährungs-Wallet tatsächlich Guthaben vorhanden sind.
Ist dies der Fall, wird ein Teil oder sogar der gesamte Betrag auf eine Wallet umgeleitet, die unter Kontrolle der Angreifer steht. Anders gesagt: Die Malware versucht nicht nur Daten zu stehlen, sondern direkt monetäre Schäden zu verursachen.
Welche Kryptowährungen betroffen sein können
Die Analyse zeigt, dass es mehrere Varianten derselben Funktion gibt – abhängig davon, welche Kryptowährung im jeweiligen Wallet betroffen ist. Genannt werden unter anderem:
- Bitcoin
- Litecoin
- Dogecoin
- Monero
- Ethereum
- Ripple (XRP)
Auch wenn die Grundidee naheliegt, dass eine Wallet ausgenutzt wird, gibt es einen zusätzlichen Aspekt: Die Software enthält offenbar getrennte Logik, um zu berechnen, wie viel Prozent des Wallet-Inhalts den Zielwert erreicht. Dadurch kann der Abfluss je nach Ausprägung der jeweiligen Währung und Zielkonfiguration variieren.
Der Ablauf in der Infektionskette (vom ClickFix-Befehl bis zur Auslieferung)
Der Angriff lässt sich in mehrere Stationen gliedern:
- Initiale Täuschung: Der Nutzer erhält eine Anweisung, die als ClickFix-ähnliches „Kopieren und Einfügen“ in Terminal gestaltet ist.
- Bash-Profiler/Loader: Die Ausführung sammelt Systemdetails und bereitet das Nachladen vor.
- Passende Payload: Eine Mach-O-Komponente wird geladen, passend zur CPU-Architektur.
- Stealer-Funktion: Go-basierte Sammlung von Browser-Passwörtern, Keychain-Daten und zwischengespeicherten Zugangsdaten.
- Erweiterte Monetarisierung: „DRAIN“-Routine prüft Wallet-Guthaben und lenkt Beträge in Angreifer-Wallets um.
Damit deckt die Kette sowohl Datendiebstahl als auch direkten finanziellen Abfluss ab.
Infrastruktur und Verbindungen zu Hosting-Betreibern
Die Staging-Server, die die Payloads bereitstellen, sowie die Command-and-Control-Komponente sollen auf Infrastruktur zurückgehen, die mit Aeza Group in Verbindung gebracht wird. Diese wird als bulletproof Hosting Provider beschrieben, der in mehreren Ländern von den USA, dem Vereinigten Königreich und Australien sanktioniert wurde, weil er missbräuchliche Aktivitäten unterstützt haben soll.
Solche Verbindungen sind für die Strafverfolgung und Abschaltung relevant, zeigen aber auch, dass Angreifer oft auf widerstandsfähige Hosting-Modelle setzen.
Einordnung: ClickFix-Varianten tauchen aktuell in Wellen auf
Die Meldung steht nicht allein. In den vergangenen Wochen wurden mehrere ClickFix-Angriffe gemeldet, die sich je nach Zielumgebung stark unterscheiden. Einige beobachtete Muster:
Gatekeeping gegen Analyse und Crawler
In einer macOS-Kampagne, die unter anderem MacSync und Atomic Stealer verteilt haben soll, wurden mehrere Look-alike Domains eingesetzt. Zusätzlich gab es serverseitige Prüfungen, etwa per Browser-Fingerprinting und Hardware-Validierung. Dadurch wurden Köder nur dann ausgeliefert, wenn die Umgebung als „konsistent“ mit einem echten macOS-Browser erschien. Gleichzeitig wurden Crawler, Sandboxen und Teile automatisierter Analyseumgebungen blockiert.
Windows-Umgehung über legitime Binärdateien
Eine andere ClickFix-Variante missbrauchte den Program Compatibility Assistant (pcalua.exe) als Launcher, um Heuristiken zu umgehen, die sich auf den Parent-Prozess stützen. In der Beschreibung wurden Opfer über eine ClickFix-Anweisung dazu gebracht, einen präparierten Befehl in die Run- bzw. Ausführungsumgebung einzufügen. Dieser erzeugte u. a. PowerShell-Prozesse, nutzte WMI, montierte ein WebDAV-Share und lud eine bösartige DLL über rundll32.exe.
Ein zusätzlicher Punkt: Das WebDAV-Share wurde über HTTPS bereitgestellt, wobei CDN-fronted Infrastruktur und per-victim tokenisierte URLs (UUIDv4-Pfade) verwendet wurden, um die DLL zielgerichtet auszuliefern.
Umgehung von Netzwerkdetektion durch wasm und Steganografie
Weitere Angriffe setzten auf on-the-fly Instanziierung von WebAssembly-Modulen sowie Steganografie über SVG-Bilder, um Netzwerksignaturen zu umgehen. Dabei sollen kompromittierte, aber legitime Websites bösartigen JavaScript-Code ausführen. Dieser erstellt wiederum eine wasm-Struktur, die URLs anlegt, von denen anschließend SVG-Dateien geladen werden. Daraus entsteht die eigentliche ClickFix-URL, die dann über ein Script-Tag im DOM genutzt wird, um eine gefälschte Verifizierungsseite zu präsentieren.
Auf der Fake-Seite wurde u. a. ein Checkbox-Element genutzt. Nach dem Klick erhielten Nutzer Anweisungen, Inhalte in ein Run-Fenster einzufügen.
Was Sie jetzt tun können
Wenn Sie auf macOS arbeiten, gilt als Grundregel: Befehle, die Ihnen „zum Testen“ per Copy-and-Paste angeboten werden, sollten Sie nur aus vertrauenswürdigen Quellen ausführen. ClickFix-Angriffe macOS drehen diesen Reflex aus – die Benutzerinteraktion ist oft der Schlüssel zum Start der Kette.
Zusätzlich sollten Sie prüfen, ob Ihre Browser- und Keychain-Zugänge aktuell sind und ob es Anzeichen für verdächtige Terminal-Aktivitäten gab. Bei konkretem Verdacht kann es sinnvoll sein, betroffene Passwörter zu ändern und Sessions zu widerrufen.
Für Unternehmen und Teams empfiehlt sich außerdem, die Sicherheitsprozesse so zu gestalten, dass manuelle Eingaben in Terminal oder Run-Dialoge nicht als „Standardhandlung“ missbraucht werden können.
Fazit
ClickFix-Angriffe macOS nutzen eine sehr direkte Social-Engineering-Technik: Nutzer werden dazu gebracht, einen Terminal-Befehl einzufügen, wodurch ein mehrstufiger Loader startet. Die nachgeladene Go-basierte Malware kann Passwörter, Apple Keychain-Daten und zwischengespeicherte Credentials abgreifen und an einen externen Server senden.
Noch schwerer wiegt der monetäre Schwerpunkt: Mit einer „DRAIN“-Routine wird geprüft, ob Kryptowährungen im Wallet vorhanden sind, und je nach Ausprägung werden Beträge in Angreifer-Wallets umgeleitet. Wer also Copy-and-Paste-Anweisungen ungeprüft übernimmt, riskiert nicht nur Datenverlust, sondern auch finanzielle Schäden.
Quelle: https://thehackernews.com/2026/08/clickfix-attacks-deliver-macos-stealer.html
