Hoe komt u van ClickLock Stealer (Mac) af

Wat voor soort malware is ClickLock Stealer?

ClickLock Stealer is een modulaire informatiedief die zich richt op macOS-gebruikers. Volgens onderzoek gepubliceerd door Group-IB werd hij in juni 2026 ontdekt met nul initiële detecties op VirusTotal. Cybercriminelen verspreiden hem via ClickFix, waarbij gebruikers worden misleid om een Terminal-opdracht uit te voeren die de malware in stilte installeert.

Zodra ClickLock Stealer actief is, verzamelt hij wachtwoorden, browsergegevens, Keychain-vermeldingen en gegevens van cryptocurrency-wallets. Hij plaatst ook een backdoor die aanvallers permanente externe toegang tot de geïnfecteerde Mac geeft. Als ClickLock Stealer op een apparaat wordt gedetecteerd, moet hij zo snel mogelijk worden verwijderd.

Overzicht van ClickLock Stealer

ClickLock Stealer is opgebouwd rond een modulaire architectuur. Een orchestrator-script, geleverd via een valse verificatiepagina, downloadt vier afzonderlijke componenten naar de Mac. Elke module verzorgt een andere diefstaltaak, en het modulaire ontwerp maakt de malware aanpasbaar en moeilijker te detecteren, omdat elk onderdeel onafhankelijk kan worden bijgewerkt.

De malware richt zich op acht browsers: Chrome, Brave, Edge, Opera, Vivaldi, Arc, Chromium en Firefox. Uit elk daarvan verzamelt het opgeslagen inloggegevens, cookies, browsegeschiedenis, bladwijzers en automatisch ingevulde gegevens. Het extraheert ook de Chrome Safe Storage-sleutel uit de macOS Keychain, die het gebruikt om lokaal opgeslagen browserwachtwoorden te ontsleutelen.

Cryptovaluta is een primair aandachtspunt. ClickLock Stealer richt zich op meer dan 30 browsergebaseerde wallet-extensies, waaronder MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby en OKX Wallet, in zowel Chromium-browsers als Firefox. Ook acht desktop-walletapplicaties vallen binnen het bereik, waaronder Exodus, Atomic Wallet, Bitcoin Core, Electrum, Coinomi en Wasabi Wallet.

Aanvullende mogelijkheden

Ook extensies van wachtwoordbeheerders worden aangevallen. ClickLock Stealer verzamelt gegevens van Bitwarden, LastPass, 1Password, NordPass, Keeper, Dashlane en Talisman. Shell-geschiedenisbestanden, FileZilla-inloggegevens en SSH-sleutelbestanden worden verzameld, samen met basissysteeminformatie: gebruikersnaam, macOS-versie, CPU-model, RAM, schijfgrootte en het openbare IP-adres van het apparaat.

Eén component installeert een backdoor op basis van de open-source GSocket-tool. Deze draait onder de naam iCloud binnen de Library-map van de gebruiker en zet een reverse shell op naar de server van de aanvallers. Drie persistentiemechanismen zorgen ervoor dat de backdoor na herstarts blijft draaien: een LaunchAgent, een crontab-vermelding en een wijziging van een shell RC-bestand. In tegenstelling tot andere modules verwijdert deze component zichzelf niet.

ClickLock Stealer onderneemt actieve stappen om detectie te vermijden. Het verbergt de Terminal-cursor, onderdrukt macOS-beveiligingswaarschuwingen door NotificationCenter urenlang herhaaldelijk af te sluiten, en verhult payload-downloadcommando's binnen willekeurig ogende tekst. Meerdere payloads worden rechtstreeks naar bash gepijpt zonder de schijf te raken. De meeste modules verwijderen zichzelf na het voltooien van hun taken.

Conclusie

ClickLock Stealer is een ernstige dreiging omdat het gelijktijdig wachtwoorden, wallets en Keychain-gegevens aanvalt en tegelijkertijd actief beveiligingswaarschuwingen onderdrukt die zijn aanwezigheid zouden kunnen onthullen. De persistente GSocket-backdoor betekent dat aanvallers toegang kunnen behouden, zelfs nadat de stealer-modules klaar zijn met draaien.

Group-IB identificeerde meer dan 100 slachtoffers in 33 landen, waarvan meer dan de helft in Europa. De campagne lijkt financieel gemotiveerd en richt zich op regio's met hoge inkomens waar zowel macOS als het gebruik van cryptovaluta veelvoorkomend is. Als er reden is om aan te nemen dat een Mac geïnfecteerd is, moet verwijdering als dringend worden behandeld.

Meer voorbeelden van malware die zich op macOS richt zijn ShadeStager, PamStealer en Infiniti.

Hoe is ClickLock Stealer op mijn apparaat terechtgekomen?

ClickLock Stealer verspreidt zich via een social engineering-techniek die bekendstaat als ClickFix. Gebruikers worden naar valse verificatiepagina's geleid, die vaak Cloudflare CAPTCHA-schermen nabootsen, met de instructie om Terminal te openen en een commando te plakken. Het uitvoeren van dat commando start de infectieketen en downloadt heimelijk de componenten van de malware naar de Mac.

De ClickFix-lokmiddelen die in deze campagne zijn waargenomen, hebben verschillende vormen. Sommige doen zich voor als Cloudflare-beveiligingscontroles; andere vermommen zich als legitieme softwaredocumentatie of Apple-communityberichten die Mac-onderhoudsstappen voorstellen. In elk geval is het doel om de gebruiker te overtuigen een Terminal-commando uit te voeren dat hij als onschuldig beschouwt.

Payloads worden geleverd vanaf gecompromitteerde WordPress-websites. Zodra het orchestrator-script draait, downloadt het elk van de modules van ClickLock Stealer en begint het onmiddellijk systeembrede machtigingen aan te vragen, waaronder Volledige Schijftoegang. De malware begeleidt slachtoffers stap voor stap bij het verlenen van deze machtiging en opent Systeeminstellingen rechtstreeks op het relevante paneel.

Hoe malware vermijden?

Wees voorzichtig met elke website, pop-up of online bericht dat u vraagt commando's in Terminal te plakken, zelfs als de pagina afkomstig lijkt van een legitieme bron zoals een CAPTCHA-prompt, een software-installatieprogramma of een technische-ondersteuningsbron. Geen enkel echt verificatie- of updateproces vereist dit. Beschouw een dergelijke instructie als een waarschuwingssignaal.

Download software alleen uit de Mac App Store of van officiële ontwikkelaarswebsites. Vermijd illegale software en houd macOS en geïnstalleerde applicaties up-to-date. Als uw computer al geïnfecteerd is, raden we aan een scan uit te voeren met Combo Cleaner Antivirus voor Windows om alle dreigingen automatisch te verwijderen.

ClickFix-lokmiddelen gebruikt om ClickLock Stealer te verspreiden (bron: group-ib.com):

Onmiddellijke automatische malwareverwijdering:

Handmatig de dreiging verwijderen, kan een langdurig en ingewikkeld proces zijn dat geavanceerde computer vaardigheden vereist. Combo Cleaner is een professionele automatische malware verwijderaar die wordt aanbevolen om malware te verwijderen. Download het door op de onderstaande knop te klikken:

Door het downloaden van software op deze website verklaar je je akkoord met ons privacybeleid en onze algemene voorwaarden. Om het volledige product te kunnen gebruiken moet u een licentie van Combo Cleaner kopen. Beperkte proefperiode van 7 dagen beschikbaar. Combo Cleaner is eigendom van en wordt beheerd door RCS LT, het moederbedrijf van PCRisk.

Snelmenu:

• Wat is ClickLock Stealer?
• Verwijder aan ClickLock Stealer gerelateerde bestanden en mappen van OSX.

Verwijdering van potentieel ongewenste applicaties:

Verwijder potentieel ongewenste applicaties uit uw "Applicaties"-map:

Klik op het Finder-pictogram. Selecteer in het Finder-venster "Applicaties". Zoek in de applicatiemap naar "MPlayerX", "NicePlayer" of andere verdachte applicaties en sleep ze naar de Prullenmand. Nadat u de potentieel ongewenste applicatie(s) die online advertenties veroorzaken heeft verwijderd, scant u uw Mac op eventuele resterende ongewenste componenten.

Veelgestelde vragen (FAQ)

Mijn apparaat is geïnfecteerd met ClickLock Stealer-malware, moet ik mijn opslagapparaat formatteren om ervan af te komen?

Formatteren verwijdert ClickLock Stealer, maar wist ook alle gegevens die op het apparaat zijn opgeslagen. Voordat u zo'n drastische stap neemt, is het over het algemeen beter om eerst een betrouwbare beveiligingstool zoals Combo Cleaner te proberen.

Wat zijn de grootste problemen die ClickLock Stealer-malware kan veroorzaken?

ClickLock Stealer kan cryptovaluta-wallets leegtrekken, opgeslagen wachtwoorden blootleggen, Keychain-gegevens compromitteren en aanvallers persistente externe toegang geven via zijn GSocket-backdoor. Dit kan leiden tot financieel verlies, identiteitsdiefstal en overname van accounts.

Wat is het doel van ClickLock Stealer-malware?

ClickLock Stealer is ontworpen om gevoelige gegevens te stelen, voornamelijk de inhoud van cryptovaluta-wallets, browser-inloggegevens en Keychain-vermeldingen. Het installeert ook een persistente backdoor zodat aanvallers na de initiële diefstal toegang tot de geïnfecteerde Mac behouden.

Hoe is ClickLock Stealer-malware op mijn computer terechtgekomen?

ClickLock Stealer wordt verspreid via ClickFix. Een gebruiker wordt omgeleid naar een valse verificatiepagina en krijgt de instructie een commando in Terminal te plakken. Het uitvoeren van dat commando downloadt en installeert de malware op de Mac.

Zal Combo Cleaner mij beschermen tegen malware?

Ja, Combo Cleaner kan de meeste dreigingen detecteren en verwijderen. Meer geavanceerde dreigingen kunnen zich echter goed in het systeem verbergen, dus het is belangrijk om een volledige scan uit te voeren om volledige verwijdering te garanderen.