보안 회사인 Group-IB는 수많은 가짜 시스템 프롬프트를 통해 사용자에게 비밀번호를 넘겨주도록 압력을 가하는 새로운 macOS 악성 코드를 식별했습니다.
"ClickLock Stealer"라고 불리는 이 악성코드는 악용이나 상승된 권한이 필요하지 않습니다. 대신 공격은 피해자가 터미널에 명령을 붙여넣고 실행하는 방식에 따라 달라집니다. 그런 다음 명령은 스크립트를 실행하고 나머지는 모두 따릅니다.
Group-IB는 피해자가 명령을 붙여넣도록 유도하는 방법을 직접 관찰하지는 않았지만 스크립트의 동작을 기반으로 해당 명령이 Cloudflare 검사 또는 브라우저 확인 단계로 위장한 가짜 "ClickFix" 페이지를 통해 제공되었다고 믿고 있습니다. 이러한 페이지에서는 방문자에게 "확인 요구 사항"으로 가정된 명령을 복사하여 터미널에서 실행하도록 지시합니다.
일단 실행되면 스크립트는 여러 모듈을 신중하게 다운로드하고 브라우저 확인을 통해 Cloudflare 진행률 표시줄을 모방한 터미널 기반 로딩 애니메이션을 표시합니다. 사용자가 나타나는 초기 비밀번호 대화 상자를 거부하면 맬웨어는 시스템 사용을 잠그기 시작합니다.
구체적으로, 악성 코드는 암호 프롬프트가 화면에 남아 있는 동안 눈에 보이는 모든 앱을 210밀리초마다 종료하고, 피해자가 동의할 때까지 데스크탑의 나머지 부분은 사용할 수 없는 상태로 유지됩니다. 한편, 또 다른 루프는 약 6시간 동안 macOS 보안 알림을 억제합니다.
사용자가 비밀번호를 포기하고 입력하면 두 번째 정품 macOS 프롬프트가 강제로 전면으로 나타나 키체인 항목에 대한 액세스를 허용하도록 요청합니다. 이를 승인하면 브라우저가 저장된 비밀번호와 쿠키를 암호화하는 데 사용하는 Chrome의 '안전 저장소' AES 키가 전달됩니다.
ClickLock은 로그인 비밀번호와 Chrome 암호화를 획득하여 브라우저 자격 증명, 키체인 데이터, 비밀번호 관리자 저장소 및 모든 암호화폐 지갑을 수집한 다음 이를 모두 Telegram 봇으로 보냅니다. 또한 지속적인 액세스를 제공하기 위해 iCloud 프로세스로 위장한 숨겨진 백도어를 설치합니다.
Group-IB에 따르면 이 캠페인은 2026년 5월부터 시작되었으며 33개국에서 최소 100명의 피해자를 표적으로 삼았습니다. 피해자의 절반 이상이 유럽에 있었습니다.
Apple은 이러한 종류의 공격이 시작되기 전에 이를 방어하기 위해 이미 macOS를 업데이트했습니다. macOS Tahoe 26.4에서는 사용자가 웹 사이트, 채팅 또는 메시지에서 터미널에 명령을 붙여넣으려고 할 때 나타나는 경고를 추가하고 사용자가 검토할 때까지 붙여넣기를 차단합니다. (오페라 브라우저에도 최근 유사한 기능이 추가되었습니다.)
macOS가 알려진 맬웨어를 감지하는 경우 붙여넣기는 재정의 없이 완전히 차단됩니다. 하지만 합법적인 웹사이트가 사용자에게 터미널에 명령을 붙여넣도록 요청하지 않는다는 것은 말할 필요도 없습니다.