Kampanie ClickFix coraz częściej infekują macOS infostealerami

Wprowadzenie do problemu / definicja

ClickFix to technika socjotechniczna, w której atakujący nakłaniają ofiarę do samodzielnego uruchomienia polecenia rzekomo potrzebnego do naprawy błędu, przejścia weryfikacji lub dokończenia instalacji. W praktyce użytkownik wykonuje złośliwy łańcuch infekcji własnoręcznie, najczęściej w Terminalu systemu macOS.

Najnowsze kampanie pokazują, że model ten stał się skutecznym sposobem dostarczania infostealerów na komputery Apple. To istotna zmiana, ponieważ przestępcy nie muszą już polegać wyłącznie na klasycznych exploitach czy złośliwych załącznikach.

W skrócie

Ataki ClickFix na macOS wykorzystują fałszywe komunikaty, strony pomocy technicznej, spreparowane instalatory i wyniki wyszukiwania.
Celem jest skłonienie użytkownika do skopiowania i uruchomienia komendy pobierającej kolejne etapy malware.
W obserwowanych kampaniach dystrybuowano infostealery kradnące hasła, dane przeglądarek, wpisy z Keychain, dokumenty i tokeny sesyjne.
Technika utrudnia detekcję, ponieważ użytkownik korzysta z legalnych narzędzi systemowych, takich jak Terminal.

Kontekst / historia

ClickFix był początkowo kojarzony głównie z kampaniami wymierzonymi w użytkowników Windows. Od 2024 roku metoda wyraźnie rozszerzyła się jednak na środowiska macOS, a w kolejnych latach zaczęła pojawiać się w coraz bardziej dopracowanych wariantach.

Badacze bezpieczeństwa wskazują, że technika ewoluowała od prostych fałszywych testów CAPTCHA i komunikatów o błędach do rozbudowanych scenariuszy podszywających się pod legalne narzędzia, wsparcie techniczne, serwisy rezerwacyjne, aplikacje AI czy programy do czyszczenia systemu. W latach 2025 i 2026 odnotowano kilka klastrów aktywności wykorzystujących podobny schemat działania, ale różne przynęty i infrastrukturę, co sugeruje, że ClickFix stał się powtarzalnym modelem operacyjnym dla wielu grup przestępczych.

Analiza techniczna

Od strony technicznej kampania przenosi moment kompromitacji z przeglądarki do zaufanego narzędzia systemowego. Zamiast klasycznego exploita ofiara otrzymuje instrukcję wykonania polecenia w Terminalu. Taka komenda bywa zakodowana, podzielona na fragmenty albo ukryta za przyciskiem kopiowania, co utrudnia jej szybką analizę.

Typowy łańcuch ataku wygląda następująco:

użytkownik trafia na spreparowaną stronę przez reklamę, SEO poisoning, fałszywy poradnik lub podszycie pod legalny serwis;
strona wyświetla komunikat o błędzie, weryfikacji albo konieczności wykonania „naprawy”;
skrypt kopiuje do schowka komendę shell albo prezentuje ją do ręcznego wklejenia;
po uruchomieniu polecenie pobiera drugi etap z infrastruktury atakującego;
loader uruchamia właściwy infostealer w pamięci lub z minimalnymi artefaktami na dysku.

W analizowanych kampaniach widoczne były warianty dopasowujące się do systemu operacyjnego ofiary. Ta sama strona mogła rozpoznawać, czy użytkownik korzysta z Windows czy macOS, a następnie wyświetlać odpowiednie instrukcje. W przypadku komputerów Apple atakujący często sięgają po natywne narzędzia systemowe, takie jak bash, curl, osascript czy mechanizmy uruchamiania procesów w tle.

W nowszych wariantach operatorzy łączą ClickFix z fałszywymi instalatorami DMG, imitacją pomocy Apple, podrobionymi przewodnikami instalacji narzędzi CLI oraz kampaniami reklamowymi w wyszukiwarkach. To zwiększa skuteczność ataku, ponieważ ofiara nie musi odwiedzać oczywiście podejrzanej witryny — może zetknąć się ze złośliwą treścią podczas pozornie zwykłego wyszukiwania informacji o aplikacji lub rozwiązaniu problemu na Macu.

Konsekwencje / ryzyko

Największe ryzyko wynika z charakteru infostealerów. Po infekcji malware może przejąć szeroki zakres danych użytkownika oraz informacji uwierzytelniających, co otwiera drogę do dalszych nadużyć.

zapisane hasła z przeglądarek;
pliki cookies i tokeny sesyjne;
dane z Apple Keychain;
historię przeglądania i dane autofill;
dokumenty użytkownika;
klucze i dane dostępu do portfeli kryptowalutowych;
wybrane artefakty z komunikatorów i aplikacji roboczych.

Skutki incydentu nie muszą ograniczać się do pojedynczego urządzenia. Kradzież sesji może umożliwić obejście części mechanizmów MFA, a przejęcie danych logowania może prowadzić do kompromitacji kont SaaS, poczty, repozytoriów kodu i środowisk chmurowych. Szczególnie niebezpieczne są infekcje urządzeń używanych jednocześnie prywatnie i służbowo, gdzie granica między danymi osobistymi a firmowymi bywa słabo rozdzielona.

ClickFix utrudnia także detekcję, ponieważ użytkownik sam inicjuje wykonanie polecenia w legalnym narzędziu systemowym. Taki model może osłabiać skuteczność części zabezpieczeń opartych wyłącznie na blokowaniu złośliwych załączników, exploitów przeglądarkowych lub standardowych downloaderów.

Rekomendacje

Organizacje powinny traktować polecenia wklejane do Terminala jako istotny sygnał ryzyka i uwzględnić ten scenariusz zarówno w szkoleniach, jak i w procedurach reagowania. Szczególnie ważne jest połączenie edukacji użytkowników z monitoringiem aktywności powłoki oraz kontrolą źródeł oprogramowania.

szkolić użytkowników, aby nigdy nie uruchamiali komend kopiowanych z wyskakujących okien, fałszywych CAPTCHA ani niezweryfikowanych instrukcji naprawczych;
ograniczać uprawnienia lokalne i stosować kontrole aplikacyjne dla interpreterów oraz narzędzi powłoki;
monitorować uruchomienia curl, bash, sh, zsh, osascript i podobnych procesów, zwłaszcza gdy pobierają zasoby z Internetu;
rejestrować zdarzenia EDR pod kątem nietypowych ciągów poleceń, użycia Base64, uruchamiania procesów w tle oraz tworzenia mechanizmów persistence;
filtrować i analizować ruch do nowo zarejestrowanych domen oraz infrastruktury o krótkim czasie życia;
wdrożyć procedury post-incident dla macOS, obejmujące izolację hosta, unieważnienie sesji, reset haseł, rotację tokenów i przegląd Keychain;
weryfikować źródła instalatorów i blokować pobieranie oprogramowania spoza zatwierdzonych kanałów;
dodatkowo monitorować wyniki sponsorowane i kampanie malvertisingowe, jeśli pracownicy często wyszukują narzędzia administracyjne lub aplikacje AI.

W środowiskach o podwyższonym ryzyku warto rozważyć także polityki ograniczające możliwość ręcznego uruchamiania niezatwierdzonych skryptów oraz reguły detekcyjne korelujące wizytę na podejrzanej stronie z późniejszym wykonaniem polecenia w Terminalu.

Podsumowanie

Kampanie ClickFix wymierzone w macOS pokazują, że atakujący nie muszą już przełamywać zabezpieczeń systemu klasycznym exploitem. Coraz częściej wystarczy przekonać użytkownika, by sam uruchomił złośliwe polecenie.

Połączenie socjotechniki, fałszywych instrukcji, reklam w wyszukiwarkach i modularnych infostealerów tworzy skuteczny model ataku, który może omijać część tradycyjnych mechanizmów ochronnych. Dla zespołów bezpieczeństwa oznacza to potrzebę lepszego monitorowania aktywności powłoki, większej widoczności na stacjach macOS oraz konsekwentnej edukacji użytkowników.