I ricercatori di sicurezza di Group-IB hanno individuato una nuova campagna malware, chiamata ClickLock Stealer, che sta colpendo in particolare i computer Mac di Apple in Europa, Nord America, Medio Oriente e Africa, con oltre la metà delle vittime identificate proprio nel continente europeo. Attacchi di questo tipo contro macOS sono generalmente considerati più rari e sofisticati rispetto a quelli rivolti a Windows e Android, il che rende la scoperta ancora più significativa.
Il meccanismo di infezione sfrutta la tecnica nota come ClickFix: la vittima viene convinta, spesso tramite pagine web che imitano un controllo di sicurezza Cloudflare o una verifica del browser, a copiare e incollare un comando nel Terminale del proprio Mac.
Il virus che blocca l’accesso al PC
Una volta eseguito, lo script mostra un’animazione di caricamento credibile mentre, in background, il malware avvia diversi moduli che cercano dati sensibili: credenziali salvate nel browser, informazioni dai gestori di password, estensioni di portafogli di criptovalute ed eventuali file di wallet presenti sul desktop.
Il virus che blocca l’accesso al PC-webnews.it
La caratteristica che dà il nome alla minaccia riguarda proprio il blocco del dispositivo: il Mac resta praticamente inutilizzabile, con la finestra di richiesta della password sempre in primo piano, in un tentativo di sfinire la vittima fino a farle digitare le proprie credenziali.
Una volta ottenuta la password, il malware genera anche una richiesta legittima di macOS per accedere al Portachiavi di sistema, e se l’utente la autorizza, gli aggressori possono recuperare le chiavi usate dal browser per proteggere password e cookie salvati. I dati raccolti vengono poi inviati agli aggressori attraverso l’infrastruttura di Telegram, mentre il malware installa anche una backdoor nascosta, camuffata da processo di iCloud, per mantenere l’accesso al sistema anche in seguito. Secondo Group-IB, la campagna sarebbe attiva almeno dal maggio 2026 e avrebbe già colpito un centinaio di persone in 33 Paesi.
La difesa più efficace resta la prevenzione: nessun sito legittimo chiede mai di copiare e incollare comandi nel Terminale per “verificare” di non essere un robot, e qualunque pagina che lo richieda va considerata automaticamente sospetta, indipendentemente da quanto sembri credibile la grafica.
Chi si accorge di aver eseguito un comando di questo tipo dovrebbe evitare di digitare la propria password anche se il Mac sembra bloccato, disconnettere il dispositivo da internet, eseguire una scansione con un software di sicurezza affidabile e controllare gli elementi di login e i profili di configurazione installati di recente.
Se sul computer erano presenti portafogli di criptovalute, conviene spostare i fondi su un nuovo wallet creato da un dispositivo pulito, dato che le chiavi private potrebbero già essere state compromesse; nei casi più seri, può rendersi necessario un backup dei dati essenziali seguito da una reinstallazione completa del sistema operativo.
