هناك سلالة مكتشفة حديثًا من البرامج الضارة لنظام التشغيل MacOS تنقل الهندسة الاجتماعية إلى مستوى جديد مثير للقلق. بدلاً من استغلال ثغرة أمنية في البرنامج أو سرقة المعلومات في الخلفية بصمت، فإنه ببساطة يرفض السماح لك باستخدام جهاز Mac الخاص بك حتى تكتب كلمة مرور تسجيل الدخول الخاصة بك.
تقوم البرمجيات الخبيثة، التي يطلق عليها اسم ClickLock، بإيقاف عمليات نظام التشغيل MacOS الرئيسية بشكل متكرر، وتعطيل الإشعارات، وتعرض مطالبات مقنعة بكلمة مرور Apple، وتحاصر المستخدمين بشكل فعال في حلقة لا تنتهي إلا عند إدخال كلمة المرور الصحيحة. وبمجرد حدوث ذلك، فإنه لا يسرق كلمة المرور فقط. فهو يلاحق بيانات المتصفح ومحافظ العملات المشفرة وبيانات الاعتماد المحفوظة ومديري كلمات المرور وغير ذلك الكثير.
تشير تقارير BleepingComputer إلى أن الباحثين في Group-IB يقولون إن البرامج الضارة أصابت بالفعل ما لا يقل عن 100 نظام في 33 دولة منذ مايو. والأمر الأكثر إثارة للقلق هو أنه عندما تم تحميله لأول مرة على VirusTotal في يونيو، لم يضعه أي من محركات الأمان على النظام الأساسي على أنه ضار.
ClickLock لا يخترق جهاز Mac الخاص بك. إنه يخترقك.
على عكس العديد من حملات البرامج الضارة الحديثة التي تعتمد على عمليات استغلال يوم الصفر أو ثغرات تصعيد الامتيازات، ينجح ClickLock من خلال الضغط النفسي. يُعتقد أن الإصابة تبدأ بهجوم على غرار ClickFix، حيث يتم خداع المستخدمين لنسخ أمر ولصقه في Terminal تحت ستار إكمال فحص “التحقق البشري” من Cloudflare. وبينما يعمل شريط تقدم التحقق المزيف على تشتيت انتباه الضحية، تقوم البرامج الضارة بتنزيل حمولاتها بهدوء في الخلفية.
وفي الوقت نفسه، يقوم بتعطيل مقاطعات لوحة المفاتيح، ويخفي مؤشر الوحدة الطرفية، ويمنع تنبيهات مركز إشعارات macOS لمدة ست ساعات تقريبًا، مما يجعل من الصعب على الضحايا إدراك حدوث شيء مريب.
الميزة الأكثر إثارة للقلق في البرامج الضارة تأتي بعد ذلك. يعرض ما يبدو أنه مربع حوار شرعي لكلمة مرور macOS مكتمل باسم الحساب الحقيقي للمستخدم وعلامة Apple التجارية. إذا أدخل الضحية كلمة مرور النظام الصحيحة، فسيقوم ClickLock بالتحقق من صحتها على الفور ويرسل بيانات الاعتماد إلى المهاجمين عبر Telegram.
إذا رفض المستخدم، فإن البرامج الضارة لا تستسلم. وبدلاً من ذلك، يقوم بتثبيت آليات الثبات التي يتم إعادة تنشيطها بعد تسجيل الدخول التالي. بمجرد تشغيله، يبدأ ClickLock في إيقاف عمليات macOS المهمة كل 210 مللي ثانية، بما في ذلك Finder وDock وTerminal وActivity Monitor وConsole وإعدادات النظام وSpotlight وحتى متصفحات الويب الشائعة.
والنتيجة هي أن جهاز Mac يبدو غير قابل للاستخدام تمامًا تقريبًا، ولم يتبق سوى المطالبة بكلمة المرور مرئية على الشاشة. وفقًا لـ Group-IB، يمكن أن تستمر هذه الحلقة لأكثر من 83 ساعة، أو حتى تستسلم الضحية أخيرًا.
إنها تريد أكثر بكثير من مجرد كلمة المرور الخاصة بك
كلمة مرور تسجيل الدخول هي البداية فقط. يحاول ClickLock أيضًا خداع الضحايا للموافقة على مطالبة وصول حقيقية إلى Keychain والتي تمنح الإذن لمفتاح التخزين الآمن في Chrome. يمكن استخدام هذا المفتاح لاحقًا لفك تشفير كلمات المرور وملفات تعريف الارتباط ومعلومات الملء التلقائي المخزنة من المتصفحات المستندة إلى Chromium.
توفر وحدة سرقة البيانات الخاصة بالبرامج الضارة شبكة واسعة بشكل استثنائي. وهو يستهدف ملفات تعريف المتصفح من Chrome وFirefox وBrave وMicrosoft Edge وOpera وVivaldi وArc وChromium، ويجمع كلمات المرور المحفوظة وملفات تعريف الارتباط والإشارات المرجعية وجلسات التصفح والتخزين المحلي ومعلومات الملء التلقائي.
يواجه مستخدمو العملات المشفرة مخاطر أكبر. يبحث ClickLock عن ملحقات محفظة المتصفح وملفات محفظة سطح المكتب وخزائن المحفظة المشفرة وعناوين المحفظة المخزنة مؤقتًا عبر الأنظمة البيئية الرئيسية لـ blockchain بما في ذلك Bitcoin والسلاسل المتوافقة مع Ethereum وSolana وTRON وTON وStacks.
كما أنه يجمع تكوينات FileZilla FTP وسجل الصدفة ومعلومات النظام الأساسية وعناوين IP العامة قبل ضغط كل شيء في أرشيفات ZIP وتحميل البيانات المسروقة من خلال Telegram Bot API. ولضمان احتفاظ المهاجمين بإمكانية الوصول على المدى الطويل، ينشر ClickLock نسخة معدلة من أداة GSocket مفتوحة المصدر، مما يؤدي إلى إنشاء باب خلفي مستمر قادر على التحكم عن بعد في جهاز Mac المصاب. وعلى عكس المكونات الأخرى للبرامج الضارة، التي تحذف نفسها بعد التنفيذ لتقليل الأدلة الجنائية، يظل هذا الباب الخلفي نشطًا على النظام.
تقنيات التخفي لا تنتهي عند هذا الحد. ويقول الباحثون إن البرمجيات الخبيثة مستضافة على مواقع ويب مخترقة ولكنها شرعية، مما يساعدها على التهرب من أنظمة الأمان القائمة على السمعة. تقوم حمولاتها أيضًا بإزالة نفسها بعد التنفيذ، تاركة وراءها آثارًا قليلة جدًا. على الرغم من ذلك، تقول Group-IB إن المدافعين لا يزال بإمكانهم اكتشاف السلوك المشبوه من خلال مراقبة مربعات حوار كلمة المرور المتكررة التي يتم إنشاؤها من خلال osascript، والإنهاء المستمر لعمليات macOS، والوصول الجماعي إلى مجلدات ملفات تعريف المتصفح، والاتصالات الصادرة غير العادية إلى Telegram.
ومع ذلك، فإن أكبر الوجبات الجاهزة بسيطة بشكل مدهش. إذا طلب منك أحد مواقع الويب فتح الوحدة الطرفية ولصق أمر لإثبات أنك إنسان، فأغلق الصفحة على الفور. لا يتطلب أي موقع ويب شرعي، بما في ذلك Cloudflare، الوصول إلى المحطة الطرفية للتحقق البشري. وإذا أصبح جهاز Mac الخاص بك فجأة غير قابل للاستخدام أثناء المطالبة بشكل متكرر بكلمة مرور النظام، فقاوم الرغبة في الامتثال. بدلاً من ذلك، قم بفرض إيقاف التشغيل باستخدام زر الطاقة، وأعد التشغيل في الوضع الآمن، وافحص النظام قبل إدخال أي بيانات اعتماد. في حالة ClickLock، كلمة المرور الخاصة بك لا تحل المشكلة. وهذا بالضبط ما ينتظره المهاجمون.