安全公司Group-IB披露一款名为ClickLock的macOS信息窃取器，通过伪造系统密码弹窗并持续杀死应用程序，胁迫用户交出登录密码，已波及全球33个国家至少100名受害者。
只需在终端里粘贴一条命令，你的Mac就可能陷入长达83小时的密码输入循环——应用程序被反复强制关闭，屏幕上只剩下一个真假难辨的系统密码框。这就是安全研究公司Group-IB最新披露的macOS恶意软件ClickLock Stealer。
与大多数依赖系统漏洞的恶意软件不同，ClickLock的攻击链条几乎不涉及任何技术漏洞。它甚至不需要管理员权限，也不需要绕过苹果的内置安全机制。
攻击始于一个看似正常的网页验证流程。受害者被引导复制一段命令并粘贴到macOS终端中——页面通常会伪装成Cloudflare的人机验证或浏览器安全检查。一旦命令被执行，恶意软件便开始在后台悄悄下载四个恶意组件：
凭证窃取模块：伪造macOS系统密码对话框，输入的密码会实时发送给攻击者;
Keychain窃取模块：获取Chrome浏览器的Safe Storage加密密钥，用于离线解密浏览器中保存的所有密码和Cookie;
加密货币窃取模块：扫描超过30种加密钱包浏览器扩展和8款桌面钱包应用;
后门模块：安装GSocket反向Shell工具，伪装成iCloud进程，为攻击者保留远程访问通道。
第一个ClickLock样本于2026年6月9日上传至VirusTotal时，所有安全厂商的检测结果均为零。Group-IB研究人员根据代码结构判断，该恶意软件仍在积极开发中，未来可能出现功能更强大的版本。
攻击者利用被入侵的WordPress网站托管恶意负载，并通过基础设施完成数据回传和命令控制。这种轻量化的架构使得攻击者无需搭建复杂的命令控制服务器。
苹果公司已在最新版macOS中对可疑终端命令粘贴行为增加了警告提示，但ClickLock的出现再次证明：再强的技术防线，也抵不过用户的一次轻信。
