ClickFix hat sich im vergangenen Jahr als Angriffstechnik etabliert. Die Opfer werden auf eine von Angreifern kontrollierte Seite gelockt, die etwa ein gefälschtes Zoom-Meeting nachahmt. Dort heißt es, technische Probleme ließen sich nur durch ein Software-Update beheben – woraufhin die Nutzer angewiesen werden, schädlichen Code auszuführen: unter Windows meist durch das Kopieren und Einfügen eines Befehls, unter macOS in der Regel durch das Herunterladen und Öffnen einer Datei.

Laut Eldritch kontaktieren die Angreifer eine Führungskraft über Telegram, häufig über ein gekapertes Konto eines Kollegen oder einer dem Ziel bekannten Person. Sie verschicken eine gefälschte Einladung zu Zoom, Microsoft Teams oder Google Meet und stellen ein Gespräch über eine vermeintliche Geschäftsmöglichkeit in Aussicht; auch ein angebliches Jobangebot diente bereits als Köder. Während des Anrufs wird das Ziel aufgefordert, einen Befehl einzugeben, um Verbindungsprobleme zu lösen.

Weil der Befehl vom Nutzer selbst eingegeben wird, schlagen viele herkömmliche Sicherheitskontrollen nicht an. Hinzu kommt, dass Anwender es gewohnt sind, Aufforderungen etwa zu Software-Updates nachzukommen – anders als bei klassischen Phishing-Mails entsteht so kaum Misstrauen, zumal das vorgeschobene Geschäftsmeeting die Wachsamkeit zusätzlich senkt.

Nach dem Verbindungsaufbau wird die Malware als macOS-Anwendung im .bin-Format unter einem unauffälligen Namen wie „teamsSDK.bin" heruntergeladen. Diese Anwendung installiert die zweite Stufe und gibt etwa vor, Software sei aktualisiert worden, um weiteres Vertrauen zu gewinnen. Das nächste Binary ist ein System-Profiler, der eine Verbindung zur Command-and-Control-Infrastruktur der Angreifer aufbaut. Anschließend sorgt ein Persistenzmechanismus dafür, dass das Kit bei jeder Anmeldung erneut gestartet wird, bevor die Hauptkomponente geladen wird – ein Stealer namens „macrasv2".

Der Stealer sammelt zuvor erfasste Daten wie Browser-Erweiterungsdaten, gespeicherte Zugangsdaten und Cookies sowie Einträge aus dem macOS-Schlüsselbund, bündelt sie in einem temporären Verzeichnis und exfiltriert sie über Telegram. Danach führt macrasv2 ein Skript zur Selbstlöschung aus.

Obwohl viele nordkoreanische Angriffe als ausgefeilt gelten, bezeichnet Eldritch macrasv2 als „schlecht geschrieben". Mehrere Komponenten seien gar nicht oder fehlerhaft umgesetzt, einige gerieten in Endlosschleifen, die das Programm durch übermäßigen Ressourcenverbrauch verraten könnten. Zudem hinterlässt die Malware Schwächen in der eigenen Operationssicherheit, darunter offengelegte Telegram-Bot-Tokens und C2-Endpunkte ohne Authentifizierung.

Der Any.Run-Blog enthält Kompromittierungsindikatoren. Dennoch funktioniert ClickFix unabhängig von der Raffinesse der Angriffskette nur, wenn der Nutzer tatsächlich einen Befehl ausführt oder eine Datei öffnet. Aleksey Lapshin, CEO von Any.Run, rät, gerade Mac-Nutzern den Trugschluss auszutreiben, „Macs bekommen keine Malware". Organisationen sollten ClickFix-Muster aktiv verfolgen und die tatsächlichen Befehle in EDR-Regeln einfließen lassen sowie risikoreiche Befehle wie curl, wget, osascript und bash protokollieren und einschränken – was laut Lapshin viele Unternehmen besonders unter macOS gar nicht überwachen.

„Angreifer suchen immer den günstigsten Einstiegspunkt mit der höchsten Trefferquote", sagt Lapshin. Der billigste Weg sei derzeit jener, bei dem der Angreifer praktisch der Nutzer selbst sei, der freiwillig Befehle auf seinem eigenen Rechner ausführe.