Prima di procedere
Il panorama della cybersicurezza per gli utenti Apple sta affrontando una sfida senza precedenti con la scoperta di ClickLock, una nuova e insidiosa variante di malware specificamente progettata per i sistemi macOS. Identificato per la prima volta dagli analisti di Group-IB, questo software malevolo non si limita a operare nell'ombra, ma adotta una strategia aggressiva di blocco del sistema per costringere le vittime a cedere le proprie informazioni più sensibili. In questo 2026, la sicurezza dei dispositivi macOS è diventata un obiettivo primario per i criminali informatici, attratti dalla crescente diffusione di asset digitali e criptovalute tra gli utenti della mela morsicata. Il malware ClickLock è stato individuato in almeno 33 paesi, con oltre 100 dispositivi già compromessi in una fase iniziale di diffusione che sembra destinata a crescere rapidamente.
L'infezione inizia solitamente attraverso una sofisticata tecnica di ingegneria sociale nota come ClickFix. Questa metodologia inganna l'utente inducendolo a credere che il proprio browser o un servizio web affidabile, come Cloudflare, stia eseguendo una verifica di sicurezza. Visualizzando una barra di progresso animata e un finto controllo "anti-bot", il sistema richiede all'utente di copiare e incollare un comando specifico nel Terminale di macOS. Questa azione, apparentemente innocua per un utente meno esperto, permette l'esecuzione di uno script shell malevolo che avvia la catena di infezione. Una volta eseguito il comando, ClickLock inizia immediatamente a isolare l'utente dal proprio sistema. Il malware disabilita le scorciatoie da tastiera fondamentali, nasconde il cursore all'interno del terminale e interrompe il funzionamento del Centro Notifiche per un periodo di circa sei ore, impedendo alla vittima di ricevere avvisi di sicurezza o messaggi di sistema che potrebbero segnalare l'anomalia.
La fase più critica dell'attacco avviene quando ClickLock tenta di ottenere la password di amministrazione. Il malware genera una finestra di login contraffatta, graficamente identica a quella originale di macOS, completa del nome reale dell'utente e del logo ufficiale di Apple. Se l'utente cade nel tranello e inserisce la password, questa viene istantaneamente verificata e inviata agli aggressori tramite le API di un bot Telegram. In caso di rifiuto, il malware non si arrende: stabilisce una persistenza nel sistema attraverso un LaunchAgent, un processo in background che si riattiva a ogni riavvio. Per forzare la mano alla vittima, ClickLock entra in un ciclo distruttivo in cui, ogni 210 millisecondi, termina forzatamente i processi vitali del sistema, inclusi il Finder, il Dock e tutti i browser web attivi. Questo stato di paralisi rende il computer quasi inutilizzabile, lasciando visibile solo la richiesta di password, e può protrarsi per oltre 83 ore o fino a quando la vittima non cede.
Oltre al controllo del sistema, l'obiettivo principale di ClickLock è l'esfiltrazione massiva di dati. Il malware è progettato per setacciare le cartelle di numerosi browser, tra cui Google Chrome, Mozilla Firefox, Brave, Microsoft Edge, Opera, Vivaldi, Arc e Chromium. Vengono sottratti cookie di sessione, cronologia, segnalibri, dati di riempimento automatico e, soprattutto, le chiavi di sicurezza memorizzate in Chrome Safe Storage tramite l'accesso al Portachiavi (Keychain). Non meno importante è il furto di portafogli di criptovalute e delle estensioni dei gestori di password, che rappresentano il vero bottino economico per i criminali. Tutti i dati raccolti vengono compressi in file ZIP e inviati agli hacker; se il file supera i 40 MB, viene automaticamente suddiviso in parti più piccole per facilitare la trasmissione senza destare sospetti nei monitoraggi di rete.
L'ultima componente del pacchetto malevolo è una versione modificata di GSocket, uno strumento open-source che garantisce agli aggressori una backdoor permanente per l'accesso remoto al sistema infetto. Secondo gli esperti di Group-IB, l'identificazione di ClickLock è resa complessa dall'uso di domini legittimi compromessi e dalla capacità dei moduli di autodistruggersi dopo aver completato il loro compito, lasciando pochissime tracce forensi. Per proteggersi da questa minaccia, è fondamentale adottare una postura difensiva rigorosa: non eseguire mai comandi nel Terminale la cui origine non sia assolutamente certificata e diffidare di finestre di login che appaiono improvvisamente durante il blocco inspiegabile di altre applicazioni. Se ci si trova di fronte a una schermata di ClickLock, la raccomandazione è di forzare lo spegnimento fisico del dispositivo tenendo premuto il tasto di accensione e riavviare il sistema in Modalità Sicura (Safe Mode) per procedere alla bonifica dei processi e dei file sospetti prima che il malware possa completare l'esfiltrazione dei dati verso i server remoti.
