# ClickLock stealer macOS: nový malware obchází antivirus bez exploitu
ClickLock stealer macOS je nová hrozba, která boří představu, že Mac je vůči malwaru automaticky bezpečnější než Windows. Útočníci k jeho šíření nepotřebují žádný exploit ani zvýšená oprávnění, stačí jim jediný zkopírovaný příkaz do Terminálu. Mnoho firem přitom stále spoléhá na to, že macOS zařízení nepotřebují stejnou úroveň ochrany jako Windows počítače, a právě tento omyl ClickLock stealer macOS cíleně využívá.
Co je ClickLock stealer macOS a jak útok funguje
Bezpečnostní výzkumníci ze společnosti Group-IB objevili na začátku června 2026 nový modulární stealer cílený výhradně na macOS. Škodlivý skript měl v době objevu nulovou detekci v antivirových enginech na VirusTotalu, což potvrzuje, jak snadno se dokáže podobný malware vyhnout tradiční ochraně.
Distribuce probíhá přes takzvané ClickFix stránky, tedy falešné weby, které předstírají bezpečnostní ověření podobné Cloudflare kontrole. Uživatel je vyzván, aby zkopíroval a vložil jeden příkaz do Terminálu. Tím ale ve skutečnosti spouští stahování a instalaci malwaru.
Klíčový rozdíl oproti klasickým hrozbám je v tom, že ClickFix technika nevyužívá žádnou softwarovou chybu. Spoléhá čistě na to, že uživatel sám provede škodlivou akci, protože mu na to dá falešný web instrukce, které vypadají důvěryhodně. Právě proto je ClickLock stealer macOS obtížně zachytitelný běžnými bezpečnostními nástroji, které hlídají spíše zranitelnosti než chování uživatele.
ClickLock stealer macOS: nátlaková taktika a locker mechanismus
ClickLock jde ještě o krok dál než běžné stealery. Pokud se oběť pokusí přerušit průběh útoku, škodlivý kód spustí takzvaný locker mechanismus. Ten postupně ukončuje všechny viditelné aplikace a systém tak zůstává prakticky nepoužitelný, dokud uživatel nezadá systémové heslo.
Tento nátlak je klíčový pro úspěch celého útoku. Malware totiž potřebuje heslo k odemčení přístupu ke klíčence Keychain a k šifrovaným datům uloženým v prohlížeči. Bez hesla by ClickLock stealer macOS nezískal přístup k nejcennějším datům, a proto oběť doslova donutí ke spolupráci.
Co všechno krade ClickLock stealer macOS
Po získání hesla ClickLock spouští jednotlivé moduly, které systematicky prohledávají zařízení. Mezi cíle patří:
– přihlašovací údaje z osmi prohlížečů
– 31 rozšíření kryptoměnových peněženek
– sedm rozšíření správců hesel
– osm desktopových kryptoměnových peněženek
– adresy napříč šesti blockchainy
– systémová klíčenka macOS a historie příkazů shellu
Ukradená data putují k útočníkovi přes Telegram Bot API, což je oblíbený exfiltrační kanál díky snadné automatizaci a obtížné blokaci na síťové úrovni v běžných firemních prostředích.
Po dokončení své práce se jednotlivé moduly samy odstraní a upraví časová razítka souborů, aby ztížily forenzní analýzu. Jedna komponenta ale zůstává trvale nainstalovaná, zadní vrátka s názvem goyim, která útočníkovi zajišťují dlouhodobý přístup i po úklidu stop. Systém se navíc vrátí do normálního provozu, takže oběť dlouho vůbec nemusí tušit, že k útoku došlo.
Kdo je ohrožen útokem ClickLock stealer macOS
Podle Group-IB kampaň zasáhla přes sto obětí ve 33 zemích, přičemž více než polovina identifikovaných případů pochází z Evropy. Kampaň běží teprve od května 2026 a výzkumníci předpokládají, že se malware stále vyvíjí, takže počet obětí i sofistikovanost útoku pravděpodobně dál porostou.
Zaměření na kryptoměnové peněženky naznačuje, že primárním cílem jsou držitelé kryptoměn. Krádež dat ze správců hesel a prohlížečů ale ukazuje, že ohrožený je v podstatě každý uživatel Macu s cennými online účty, firmy nevyjímaje. ClickLock stealer macOS tak není hrozbou jen pro jednotlivce, ale i pro malé a střední firmy, které macOS zařízení běžně používají bez centrální správy zabezpečení.
Jak se bránit útoku ClickLock stealer macOS
Nejúčinnější obrana proti ClickLock i podobným ClickFix kampaním je jednoduché pravidlo: žádná legitimní webová stránka nikdy nevyžaduje vložení příkazu do Terminálu. Ověřovací mechanismy jako Cloudflare probíhají výhradně uvnitř prohlížeče a nikdy nepotřebují zásah přes příkazovou řádku.
Firmy, které spravují macOS zařízení bez centrálního EDR řešení, by měly věnovat pozornost alespoň základním vestavěným ochranám:
– udržovat aktivní Gatekeeper a nepovolovat spouštění aplikací z neověřených zdrojů
– pravidelně aktualizovat systém kvůli databázi XProtect, která rozpoznává známé škodlivé signatury
– proškolit zaměstnance, aby nikdy nekopírovali příkazy z webových stránek do Terminálu, bez ohledu na to, jak profesionálně daná stránka vypadá
– zvážit nasazení EDR řešení i na macOS zařízeních, protože platforma přestává být bezpečnou volbou automaticky
ClickLock stealer macOS je jasnou ukázkou toho, že bezpečnost na Macu dnes stojí především na chování uživatele, ne na samotném operačním systému. Firmy, které macOS zařízení nasazují bez jasné bezpečnostní politiky a proškolení zaměstnanců, se vystavují riziku, které ještě před pár lety u Macu prakticky neexistovalo.
Zdroje
https://cybernews.com/security/clicklock-stealer-mac-malware
https://www.group-ib.com/blog/clicklock-stealer-macos-malware
