新型ClickLock macOS窃密器：每210毫秒杀死App，直到你输入密码

🕵️ Critical 间谍软件

Group-IB发现一款名为ClickLock的macOS信息窃取恶意软件，通过伪装成Cloudflare验证的ClickFix诱饵诱导用户在终端粘贴命令，若用户取消虚假密码对话框，则安装LaunchAgent以每210毫秒的频率持续杀死Finder、Dock、浏览器等关键进程，并弹出真实密码输入框，直至用户提供有效登录密码。该恶意软件已感染33个国家至少100个目标，窃取Keychain、浏览器凭证、加密货币钱包及密码管理器数据。

来源：The Hacker News | 2026-07-16 | 原文链接

🔍 关键发现

• ClickLock通过ClickFix社工手法诱使用户在终端粘贴并执行恶意脚本，无需浏览器漏洞即可入侵。
• 恶意软件使用LaunchAgent持久化，以210毫秒间隔循环杀死进程（包括Activity Monitor和Terminal），持续长达83小时，迫使受害者输入密码。
• 验证密码后，攻击者获取macOS登录密码、Chrome Safe Storage AES密钥，并窃取Keychain、浏览器Cookie/凭据、加密货币钱包扩展、FileZilla凭证等敏感数据。

⚔️ 攻击链分析

1. 用户被引导至假Cloudflare验证页面，复制并粘贴恶意命令到Terminal执行。 2. 脚本禁用键盘中断、隐藏光标，从两个被攻陷站点下载四个payload，并显示伪造的密码对话框。 3. 若用户取消对话框，脚本安装两个LaunchAgent并退出；下次登录时，LaunchAgent启动高频进程杀死循环和Keychain密码劫持。 4. 用户输入有效密码后，恶意软件通过Telegram bot将收集的数据（包括Chrome解密密钥、浏览器数据、钱包等）外传。

🚩 失陷指标 (IOC)

• gsnc[.]eu:67 (攻击者使用的GSocket中继)
• 三个被攻陷的干净信誉域名（包括一个WordPress站点，用于托管payload）
• 三个Telegram Bot token（用于数据外传）
• LaunchAgent文件：com.authirity.plist, com.chromer.plist (位于 ~/Library/LaunchAgents/)
• 恶意可执行文件路径：~/Library/Application Support/iCloudsync/iCloud (伪装进程名SystemUIServerl)

🛡️ 缓解建议

• ✅ 如果发现系统持续杀死应用并仅显示密码输入框，切勿输入密码，立即长按电源键强制关机，然后启动至安全模式（Intel：启动时按Shift；Apple Silicon：按住电源键至启动选项，选择卷标后按住Shift继续）。
• ✅ 执行过的用户应立即撤销所有活跃浏览器会话，将所有保存的密码、Cookie和钱包密钥视为已泄露，并更改所有相关账户密码。
• ✅ 终端用户应警惕任何要求粘贴命令到终端的验证页面，合法的Cloudflare验证仅在浏览器内运行，不会调用终端。

涉及漏洞：[]

⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。