Cyberkriminelle setzen auf eine perfide neue Masche: Die Schadsoftware ClickLock blockiert Apple-Computer so lange, bis Opfer ihr Passwort preisgeben.
Sicherheitsforscher haben eine neue Bedrohung für macOS-Nutzer identifiziert. Die Malware namens ClickLock verbreitet sich seit Mai 2026 und nutzt eine besonders aggressive Taktik: Sie zeigt ein gefälschtes macOS-Passwortfenster an und legt das gesamte System lahm, bis der Nutzer nachgibt.
Zwangsweise Passwort-Eingabe
Die Funktionsweise ist erschreckend einfach: Verweigert ein Opfer die Passwort-Eingabe, beendet ClickLock alle 210 Millisekunden sämtliche sichtbaren Systemprozesse. Dieser Kreislauf kann bis zu 83 Stunden andauern – der Computer wird faktisch unbenutzbar. Erst wenn das Passwort eingegeben wird, endet der Spuk.
Doch dann ist es bereits zu spät: Die Angreifer erbeuten daraufhin gespeicherte Browser-Zugangsdaten, Kryptowährungs-Wallets und Daten aus Passwort-Managern. Insgesamt zielt die Malware auf mehr als 30 Wallet-Erweiterungen und acht eigenständige Desktop-Wallets ab. Seit Mai wurden mindestens 100 Systeme in 33 Ländern infiziert, mehr als die Hälfte der Opfer sitzt in Europa.
Nach erfolgreichem Datendiebstahl löscht ClickLock seine Hauptkomponenten – hinterlässt aber eine persistente Hintertür namens GSocket, um langfristigen Zugriff zu ermöglichen.
Angesichts von über 4,7 Millionen gehackten Konten pro Quartal in Deutschland ist der Schutz Ihrer digitalen Identität wichtiger denn je. Dieser kostenlose Report zeigt Ihnen, wie Sie mit der neuen Passkey-Technologie Ihre Logins bei Amazon, WhatsApp und Co. manipulationssicher machen. Sicher, bequem und passwortlos: So funktionieren Passkeys
ClickFix: Die neue Lieblingsmasche der Hacker
Die Verbreitung von ClickLock erfolgt über eine Social-Engineering-Methode namens ClickFix. Diese Technik hat sich in den letzten Monaten zum führenden Verteilungsweg für Schadsoftware entwickelt.
Die Masche: Nutzer werden mit vorgetäuschten technischen Problemen konfrontiert – einem fehlgeschlagenen Cloudflare-CAPTCHA, einem eingefrorenen Dokument oder einem simulierten Bluescreen. Dann werden sie aufgefordert, einen Befehl in das macOS-Terminal einzufügen, um das Problem zu „beheben“.
Die Zahlen sind alarmierend: Die Sicherheitsfirma ESET meldet einen Anstieg der ClickFix-Erkennungen um 108 Prozent zwischen dem zweiten Halbjahr 2025 und dem ersten Halbjahr 2026. Bereits Anfang 2025 war die Zahl der ClickFix- und ähnlicher „FileFix“-Angriffe um 517 Prozent gestiegen – sie machten damals fast die Hälfte aller dokumentierten Erstzugriffsversuche aus.
Neueste Varianten nutzen sogar KI-Theme-Locks: Gefälschte „AI-Fix“-Seiten missbrauchen die Domains großer KI-Entwickler, um vertrauenswürdig zu wirken.
Staatliche Akteure im Visier
Die ClickFix-Methode wird längst nicht nur von Kleinkriminellen genutzt. Auch die nordkoreanische Lazarus-Gruppe setzt darauf. Forscher bringen die Gruppe mit einer Kampagne in Verbindung, die die macOS-Malware Mach-O Man nutzt und auf Kryptowährungs- und Fintech-Unternehmen zielt.
Die Angriffe beginnen oft mit gefälschten Einladungen zu Meetings auf Plattformen wie Zoom oder Google Meet. Lazarus steht bereits hinter spektakulären Coups: dem 1,4-Milliarden-Dollar-Hack von Bybit im Jahr 2025 und dem Zerion-Vorfall im April 2026.
Eine weitere nordkoreanische Gruppe, Famous Chollima (auch als Wagemole bekannt), nutzt die ClickFake-Kampagne, um Web3-Profis ins Visier zu nehmen. Gefälschte Vorstellungsgespräche dienen als Köder für den GolangGhost-Trojaner, der Chrome-Geheimnisse aus der macOS-Schlüsselverwaltung stiehlt und MetaMask-Berechtigungen kapert.
Hacker nutzen oft psychologische Schwachstellen und technische Tricks aus, um an sensible Daten wie Browser-Geheimnisse oder Passwörter zu gelangen. Ein neuer Gratis-Guide enthüllt, wie Sie solche manipulativen Phishing-Angriffe rechtzeitig entlarven und sich effektiv schützen. In 4 Schritten zum sicheren Schutz: Jetzt Anti-Phishing-Paket gratis sichern
Modulare Schädlinge und Abwehrmaßnahmen
Die Palette der über ClickFix verbreiteten Schadsoftware wächst stetig. Neben Datendieben wie ClickLock entdeckten Forscher die modulare Malware TELEPUZ, deren erste Proben am 2. Mai 2026 auftauchten. Sie enthält Keylogger und Web-Injection-Module und nutzt Telegram sowie die Polygon-Blockchain als Kommando- und Kontrollkanal.
Auch die russischsprachige Gruppe UAT-11795 ist aktiv: Sie verbreitet seit Juni 2025 den Starland RAT über manipulierte Software-Installationen und hat Nutzer in den USA und Europa im Visier.
Apple hat reagiert: macOS Tahoe 26.4 zeigt nun explizite Warnungen an, wenn Nutzer versuchen, Befehle aus einer mutmaßlichen ClickFix-Quelle in das Terminal einzufügen. Sicherheitsexperten raten im Infektionsfall zu einer kompletten Zurücksetzung des Systems und warnen eindringlich davor, Befehle von Drittanbieter-Webseiten auszuführen, die angeblich Systemfehler beheben sollen.
