#Netzwerk & Sicherheit · 3 Min. Lesezeit · Tim Rinkel

MAC-FALLE! Neue Schadsoftware killt deine Apps alle 0,2 Sekunden — bis du dein Passwort verrätst

ClickLock terrorisiert Macs: Der Stealer beendet Apps alle 210 ms, bis Nutzer ihr Passwort eintippen. So erkennst und entfernst du die neue macOS-Malware.

MAC-FALLE! Neue Schadsoftware killt deine Apps alle 0,2 Sekunden — bis du dein Passwort verrätst

Diese Masche ist so dreist wie wirkungsvoll: Eine neue macOS-Schadsoftware namens ClickLock fragt höflich nach deinem Passwort — und wenn du ablehnst, macht sie deinen Mac unbenutzbar. Alle 210 Millisekunden beendet sie Finder, Dock, Safari, Chrome und Terminal, bis auf dem toten Schreibtisch nur noch eines übrig bleibt: das Passwort-Fenster. Die Sicherheitsfirma Group-IB hat den Schädling jetzt öffentlich seziert.

SO läuft der Angriff ab

Am Anfang steht die bekannte ClickFix-Masche: Eine präparierte Webseite fordert dich auf, einen angeblichen „Reparatur-Befehl“ ins Terminal zu kopieren. Wer das tut, holt sich den Stealer an Bord. Der zeigt zunächst einen gefälschten System-Dialog und bittet um dein Login-Passwort.

Klickst du auf Abbrechen, scheint erst mal nichts zu passieren — doch im Hintergrund installiert die Malware zwei LaunchAgents und wartet auf deine nächste Anmeldung. Dann beginnt der Psychoterror: Im 210-Millisekunden-Takt sterben deine Apps, bis zu 83 Stunden lang. Die meisten Opfer geben irgendwann entnervt auf und tippen das Passwort ein.

DANN ist alles weg

Mit dem Passwort öffnet ClickLock den macOS-Schlüsselbund und bedient sich: Browser-Passwörter, Passwortmanager-Erweiterungen, Krypto-Wallets samt Adressen von sechs Blockchains, FTP-Zugänge, sogar die Shell-History. Als Zugabe installiert der Schädling eine modifizierte Version des Open-Source-Tools GSocket als dauerhafte Backdoor — verankert per LaunchAgent, Crontab und manipulierten Shell-Konfigurationsdateien.

Besonders bitter: Als Group-IB die Orchestrator-Datei analysierte, lag sie bereits seit dem 9. Juni bei VirusTotal — mit null Erkennungen. Seit Mai zählt die Firma mindestens 100 Betroffene in 33 Ländern, mehr als die Hälfte davon in Europa.

So schützt du dich in 3 SCHRITTEN

Erstens: Kopiere NIEMALS Terminal-Befehle von Webseiten, die dir eine „Reparatur“ oder einen „Fix“ versprechen — das ist inzwischen einer der häufigsten Mac-Infektionswege überhaupt. Zweitens: Gib dein System-Passwort nur in echten macOS-Dialogen ein; im Zweifel brichst du ab und startest neu. Drittens: Prüfe bei Verdacht die Ordner ~/Library/LaunchAgents und deine Crontab auf fremde Einträge und trenne den Mac vom Netz.

FAZIT: Der Mac ist KEIN Ruhepol mehr

ClickLock braucht weder eine Sicherheitslücke noch erweiterte Rechte — nur Geduld und Psychologie. Genau das macht die Masche so gefährlich: Technische Schutzmaßnahmen greifen kaum, wenn der Nutzer selbst den Schlüssel übergibt. Gesundes Misstrauen gegenüber kopierten Befehlen ist aktuell der beste Virenschutz.

Häufige Fragen

Wie fange ich mir ClickLock überhaupt ein?
Der Infektionsweg ist die sogenannte ClickFix-Masche: Präparierte Webseiten — oft gefälschte Fehlerseiten oder Captcha-Abfragen — fordern dich auf, einen Befehl zu kopieren und im Terminal auszuführen. Erst dieser manuell ausgeführte Befehl installiert die Schadsoftware. Ohne dein Zutun kann sich ClickLock nicht installieren, es gibt keinen Exploit und keine Sicherheitslücke.
Mein Mac beendet ständig Apps — bin ich betroffen?
Wenn Finder, Dock, Browser und Terminal im Sekundentakt sterben und nur ein Passwort-Dialog stehen bleibt, spricht viel für ClickLock. Wichtig: Passwort NICHT eintippen. Starte im abgesicherten Modus (Shift beim Booten), lösche fremde Einträge in ~/Library/LaunchAgents und in der Crontab, und prüfe die Shell-Konfigurationsdateien wie .zshrc auf nachgeladene Zeilen.
Was sollte ich nach einer Infektion sofort ändern?
Gehe davon aus, dass alles Ausgelesene kompromittiert ist: Ändere von einem sauberen Gerät aus dein macOS-Passwort, alle im Schlüsselbund und Browser gespeicherten Passwörter sowie FTP-Zugänge, und verschiebe Krypto-Bestände auf neue Wallets. Wegen der GSocket-Backdoor ist eine Neuinstallation von macOS die sicherste Option.
Schützt mich ein Virenscanner vor ClickLock?
Nur bedingt. Die Analyse-Datei lag über einen Monat mit null Erkennungen bei VirusTotal, und der Angriff nutzt keine Schwachstelle, sondern Social Engineering. Virenscanner erkennen inzwischen einige Komponenten, aber der wirksamste Schutz bleibt Verhalten: keine kopierten Terminal-Befehle, keine Passwort-Eingabe in unerwarteten Dialogen.

Quellen: Group-IB · The Hacker News · BleepingComputer

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert