Un nuevo malware para macOS, bautizado como ClickLock, utiliza técnicas de ingeniería social y bloqueo de procesos para forzar a las víctimas a introducir su contraseña de inicio de sesión. La amenaza está diseñada para robar credenciales, datos de navegadores, información de gestores de contraseñas, activos de criptomonedas y datos de autenticación del sistema, además de poder instalar una puerta trasera persistente para mantener el acceso remoto al equipo infectado.
Investigadores de Group-IB analizaron el script malicioso tras localizarlo en VirusTotal, donde fue enviado por primera vez el 9 de junio. En el momento del análisis, el archivo no era detectado como malicioso por los motores de seguridad disponibles en la plataforma. Según la investigación, ClickLock habría infectado al menos un centenar de sistemas en 33 países desde mayo.
El caso vuelve a poner el foco en el crecimiento del malware dirigido a macOS y en el uso de técnicas que no dependen necesariamente de vulnerabilidades técnicas, sino de la manipulación directa del usuario.
Un falso proceso de verificación como punto de entrada
La infección parece comenzar con una técnica conocida como ClickFix, en la que una página web engañosa pide al usuario que copie y pegue un comando en la Terminal bajo el pretexto de completar una verificación. En este caso, los investigadores observaron una falsa secuencia de “verificación humana” que imitaba a Cloudflare y mostraba una barra de progreso animada.
Mientras la víctima cree estar superando un control de seguridad, el comando ejecutado en la Terminal inicia la descarga de los módulos maliciosos en segundo plano. Al mismo tiempo, el malware desactiva interrupciones del teclado, oculta el cursor de la Terminal y suprime el Centro de Notificaciones de macOS durante unas seis horas para evitar avisos que puedan delatar la actividad.
Esta técnica resulta especialmente peligrosa porque convierte una acción aparentemente rutinaria en el inicio de una infección. El usuario no descarga una aplicación sospechosa de forma consciente, sino que sigue unas instrucciones que aparentan formar parte de un proceso legítimo de verificación.
La trampa de la contraseña
La capacidad más llamativa de ClickLock es su mecanismo para obligar a la víctima a introducir la contraseña del sistema. Según Group-IB, el malware no necesita exploits ni privilegios elevados para alcanzar su objetivo. Su eficacia se basa en la ingeniería social y en bucles de interacción forzada.
En una primera fase, el script muestra un falso cuadro de diálogo de macOS que solicita la contraseña del usuario. Para hacerlo más convincente, utiliza el nombre real de la víctima y un icono de Apple descargado. Si el usuario introduce la clave, el malware la valida y la envía al atacante a través de Telegram.
Si la víctima cancela el aviso, ClickLock establece persistencia mediante dos LaunchAgents de macOS, identificados como com.authirity.plist y com.chromer.plist, para volver a activarse en el siguiente inicio de sesión.
En la siguiente ejecución, el módulo de robo de contraseña inicia un bucle agresivo que finaliza repetidamente aplicaciones clave cada 210 milisegundos. Entre los procesos afectados se encuentran Finder, Dock, Terminal, Monitor de Actividad, Consola, Ajustes del Sistema, Spotlight y navegadores web. La víctima se queda prácticamente sin posibilidad de interactuar con el sistema y solo ve el cuadro de contraseña.
El bucle está configurado para mantenerse durante unas 83 horas o hasta que el usuario introduzca una contraseña correcta.
Acceso al llavero y robo de datos sensibles
ClickLock también despliega un segundo mecanismo de presión mediante otro LaunchAgent. En este caso, el malware vuelve a cerrar procesos del sistema y solicita autorización del llavero mediante un aviso legítimo de macOS para intentar acceder a la clave Safe Storage de Chrome.
Esa clave puede utilizarse para descifrar contraseñas, cookies y datos de autocompletado almacenados por navegadores basados en Chromium, incluso si las bases de datos se analizan posteriormente fuera del equipo infectado.
