Sicherheitsforscher haben eine gefährliche Schadsoftware für Macs entdeckt, die Nutzer mit einem aggressiven Sperrmechanismus zur Preisgabe ihrer Systempasswörter zwingt.
Die von Group-IB am heutigen Montag vorgestellte Malware namens ClickLock Stealer verbreitet sich über sogenannte „ClickFix“-Seiten. Dabei handelt es sich um betrügerische Webseiten, die als legitime Dienste wie Cloudflare-Verifizierungsmasken getarnt sind. Die Nutzer werden aufgefordert, einen schädlichen Befehl zu kopieren und in das macOS-Terminal einzufügen. Einmal ausgeführt, startet das Skript einen verheerenden Kreislauf: Es beendet alle sichtbaren Anwendungen im 210-Millisekunden-Takt.
Erpressung durch Dauer-Sperrbildschirm
Die Taktik der Angreifer ist brutal effektiv. Die Malware löst eine Passwortabfrageschleife aus, die rund 300.000 Sekunden andauern kann – das entspricht mehr als drei Tagen. Um den Druck zu erhöhen, unterdrückt ClickLock die macOS-Sicherheitsmeldungen für etwa sechs Stunden und zeigt stattdessen eine eigene, gefälschte Passwortabfrage an. Der Nutzer steht vor der Wahl: entweder das Passwort preiszugeben oder das Gerät dauerhaft nicht nutzen zu können.
Das eigentliche Ziel des Angriffs ist der Diebstahl sensibler Daten. Die Malware zielt auf Browser-Anmeldedaten, den macOS-eigenen Schlüsselbund (Keychain) sowie Passwort-Manager-Vaults ab. Besonders im Fokus: der Chrome Safe Storage AES-Schlüssel und Kryptowährungs-Wallets. Die gestohlenen Daten werden anschließend über einen von den Angreifern kontrollierten Telegram-Bot abfließen.
Ob Passwörter im Browser oder im System-Schlüsselbund – Cyberkriminelle haben es gezielt auf Ihre digitalen Zugänge abgesehen. Dieser kostenlose Report zeigt, wie Sie mit der neuen Passkey-Technologie Ihre Konten bei Amazon, Microsoft und Co. ohne klassische Passwörter absichern. Passkey-Ratgeber jetzt kostenlos herunterladen
Europa im Visier – mindestens 100 Opfer bestätigt
Die ClickLock-Kampagne ist seit mindestens Mai 2026 aktiv. Bislang haben die Forscher mindestens 100 Opfer in 33 Ländern bestätigt. Mehr als die Hälfte der Infektionen entfällt auf Europa. Die Schadsoftware reiht sich damit in eine wachsende Bedrohungslage für macOS-Nutzer ein.
Erst kürzlich wurde das Mach-O-Man-Malware-Kit bekannt, das mit der berüchtigten Lazarus-Gruppe in Verbindung gebracht wird und ebenfalls auf Keychain-Daten abzielt. Zudem tarnt sich der CrashStealer als legitimer Apple-Absturzbericht, um Authentifizierungstoken und Wallet-Informationen zu stehlen.
Apple schlägt zurück – neue Schutzfunktionen in macOS Tahoe
Apple hat auf die zunehmenden Angriffe über Terminal-Befehle reagiert. Die aktuelle Version macOS Tahoe 26.4 enthält eine spezielle Warnfunktion: Nutzer werden gewarnt, wenn sie Inhalte von einer Webseite in das Terminal einfügen. Auch andere Browser-Entwickler wie Opera haben ähnliche Schutzmechanismen integriert.
Allein in Deutschland werden pro Quartal rund 4,7 Millionen Online-Konten gehackt, oft durch das Ausspähen klassischer Passwörter. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie die sicherere Alternative einrichten und Hackern keine Chance mehr lassen. Kostenlosen Report für maximale Konten-Sicherheit sichern
Doch die Angreifer passen sich an. Während ClickLock auf gefälschte Verifizierungsseiten setzt, nutzen andere Kampagnen vertrauenswürdige KI-Plattformen zur Verbreitung von Malware. Erst gestern identifizierten Forscher von Zscaler eine Kampagne, die über Anthropics Claude-Shared-Chats Mac-Nutzer ins Visier nahm. Die Angreifer schalteten Google-Suchanzeigen, die zu bösartigen Chats führten und die Installation des MacSync Stealer auslösten – einer Malware, die nach dem gleichen Muster wie ClickLock Browserdaten, sensible Dateien und Krypto-Wallet-Zugangsdaten sammelt.
Cyberkriminalität als Geschäftsmodell
Die Entdeckung von ClickLock fällt in eine Zeit verstärkter Strafverfolgung im Bereich Malware-as-a-Service (MaaS) und Krypto-Diebstahl. In einem kürzlich bekannt gewordenen Verfahren verhaftete das FBI einen 21-jährigen Mann aus Florida. Er soll zwischen Mai 2024 und Februar 2026 rund 8.000 Geräte infiziert haben – über gefälschte Spiele auf der Steam-Plattform. Die Beute: rund 220.000 Euro in Kryptowährungen.
Der Fall zeigt die zunehmende Professionalisierung des Malware-Marktes. Erst heute entdeckte Kaspersky den CrystalX RAT, ein modulares Werkzeug, das auf sozialen Medienplattformen feilgeboten wird. Es bietet Funktionen wie Bildschirmaufzeichnung und Passwortdiebstahl – für breite Überwachung und finanziellen Gewinn.
