New ClickLock Stealer Targets macOS Users via Social Engineering
A new piece of malware called ClickLock is targeting Mac users by tricking them into revealing their system passwords, allowing attackers to lock the device and gain persistent access.
English Brief
A new piece of malware called ClickLock is targeting Mac users by tricking them into revealing their system passwords, allowing attackers to lock the device and gain persistent access.
الموجز العربي
برمجية ClickLock الخبيثة تستهدف مستخدمي macOS عبر الهندسة الاجتماعية
تستهدف برمجية خبيثة جديدة تُدعى ClickLock مستخدمي أجهزة ماك، حيث تخدع الضحايا للكشف عن كلمات مرور النظام، مما يتيح للمهاجمين قفل الجهاز والحصول على وصول مستمر.
- 1Scan for malicious launch agents: ls ~/Library/LaunchAgents/ # 2. Identify unauthorized persistent processes: ps aux | grep -v 'root' # 3. Check for recently installed applications in /Applications or /Downloads. # 4. If infection is confirmed, isolate the machine from the network. # 5. Change macOS user passwords immediately. # 6. Review system logs for suspicious authentication attempts.
English Advisory
// Intelligence Summary
A newly identified macOS infostealer dubbed ClickLock has been observed employing social engineering tactics to deceive users into providing administrative credentials. Once obtained, the malware leverages these privileges to lock the host system and establish a persistent backdoor for future unauthorized access.
التقرير العربي
// ملخص استخباراتي
تم رصد برمجية خبيثة جديدة لنظام macOS تُعرف باسم ClickLock، تستخدم تقنيات الهندسة الاجتماعية لخداع المستخدمين للكشف عن بيانات اعتماد المسؤول. بمجرد الحصول على الصلاحيات، تقوم البرمجية بقفل نظام الضحية وإنشاء باب خلفي مستمر للوصول غير المصرح به مستقبلاً.
// Technical Context
ClickLock functions as a credential-harvesting infostealer. Upon execution, the malware simulates system prompts, coercing users to input their macOS login passwords. Following a successful phish, the malware establishes persistence through common macOS launch agents or daemons and triggers a lockout screen, effectively holding the system access hostage until the user complies or the system is recovered.
// السياق الفني
تعمل ClickLock كبرمجية لسرقة بيانات الاعتماد. عند تنفيذها، تحاكي البرمجية مطالبات النظام، مما يجبر المستخدمين على إدخال كلمات مرور تسجيل الدخول الخاصة بـ macOS. بعد نجاح عملية التصيد، تثبت البرمجية وجودها عبر وكلاء التشغيل (Launch Agents) أو البرمجيات الخفية (Daemons) المعتادة في macOS، ثم تطلق شاشة قفل تجعل النظام غير قابل للاستخدام حتى يستجيب المستخدم أو يتم استعادة النظام.
// Exposure Notes
Primary exposure occurs via social engineering vectors where users are prompted to download or interact with malicious installers. The malware specifically targets users with administrative privileges, as these accounts facilitate the installation of persistent hooks within the macOS environment.
// ملاحظات التعرض
تحدث الإصابة بشكل أساسي عبر نواقل الهندسة الاجتماعية، حيث يتم دفع المستخدمين لتنزيل أو التفاعل مع برامج تثبيت ملغمة. تستهدف البرمجية بشكل خاص المستخدمين ذوي صلاحيات المسؤول، حيث تسهل هذه الحسابات تثبيت أدوات الوصول المستمر داخل بيئة macOS.
// Defensive Priority
Organizations should focus on deploying endpoint detection and response (EDR) solutions that flag suspicious processes requesting elevated privileges. User awareness training regarding macOS authentication prompts is critical. Systems should be hardened by enforcing strict application installation policies and using mobile device management (MDM) profiles to restrict unauthorized software.
// أولوية الدفاع
يجب على المؤسسات التركيز على نشر حلول الكشف والاستجابة لنقاط النهاية (EDR) التي تحدد العمليات المشبوهة التي تطلب صلاحيات مرتفعة. يعد تدريب الوعي الأمني حول مطالبات المصادقة في macOS أمراً بالغ الأهمية. يجب تعزيز الأنظمة من خلال فرض سياسات صارمة لتثبيت التطبيقات واستخدام ملفات تعريف إدارة الأجهزة المحمولة (MDM) لتقييد البرامج غير المصرح بها.
Mitigation Checklist
- 1Scan for malicious launch agents: ls ~/Library/LaunchAgents/ # 2. Identify unauthorized persistent processes: ps aux | grep -v 'root' # 3. Check for recently installed applications in /Applications or /Downloads. # 4. If infection is confirmed, isolate the machine from the network. # 5. Change macOS user passwords immediately. # 6. Review system logs for suspicious authentication attempts.
قائمة إجراءات التخفيف
- 1البحث عن وكلاء التشغيل المشبوهين: ls ~/Library/LaunchAgents/ # 2. تحديد العمليات المستمرة غير المصرح بها: ps aux | grep -v 'root' # 3. فحص التطبيقات المثبتة حديثاً في /Applications أو /Downloads. # 4. في حالة تأكيد الإصابة، قم بعزل الجهاز عن الشبكة فوراً. # 5. تغيير كلمات مرور مستخدم macOS على الفور. # 6. مراجعة سجلات النظام بحثاً عن محاولات مصادقة مشبوهة.
- Source: Malwarebytes Labs
# 1. Scan for malicious launch agents: ls ~/Library/LaunchAgents/ # 2. Identify unauthorized persistent processes: ps aux | grep -v 'root' # 3. Check for recently installed applications in /Applications or /Downloads. # 4. If infection is confirmed, isolate the machine from the network. # 5. Change macOS user passwords immediately. # 6. Review system logs for suspicious authentication attempts.