Come sbarazzarsi di ClickLock Stealer (Mac)

Che tipo di malware è ClickLock Stealer?

ClickLock Stealer è uno stealer di informazioni modulare che prende di mira gli utenti macOS. Secondo la ricerca pubblicata da Group-IB, è stato scoperto nel giugno 2026 con zero rilevamenti iniziali su VirusTotal. I criminali informatici lo distribuiscono tramite ClickFix, ingannando gli utenti affinché eseguano un comando del Terminale che installa silenziosamente il malware.

Una volta attivo, ClickLock Stealer raccoglie password, dati del browser, voci del Keychain e dati del portafoglio di criptovalute. Distribuisce inoltre una backdoor che fornisce agli aggressori un accesso remoto persistente al Mac infetto. Se ClickLock Stealer viene rilevato su un dispositivo, deve essere rimosso il prima possibile.

Panoramica di ClickLock Stealer

ClickLock Stealer è costruito attorno a un'architettura modulare. Uno script orchestratore, distribuito tramite una falsa pagina di verifica, scarica quattro componenti separati sul Mac. Ogni modulo gestisce un diverso compito di furto e il design modulare rende il malware adattabile e più difficile da rilevare, poiché ogni parte può essere aggiornata in modo indipendente.

Il malware prende di mira otto browser: Chrome, Brave, Edge, Opera, Vivaldi, Arc, Chromium e Firefox. Da ciascuno raccoglie le credenziali di accesso salvate, i cookie, la cronologia di navigazione, i segnalibri e i dati di compilazione automatica. Estrae inoltre la chiave Chrome Safe Storage dal Portachiavi di macOS, che utilizza per decrittografare le password del browser memorizzate localmente.

Le criptovalute sono un obiettivo primario. ClickLock Stealer prende di mira oltre 30 estensioni di portafogli basate sul browser, tra cui MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby e OKX Wallet, sui browser Chromium e Firefox. Sono compresi anche otto applicazioni desktop di portafogli, tra cui Exodus, Atomic Wallet, Bitcoin Core, Electrum, Coinomi e Wasabi Wallet.

Funzionalità aggiuntive

Vengono prese di mira anche le estensioni di gestione delle password. ClickLock Stealer raccoglie dati da Bitwarden, LastPass, 1Password, NordPass, Keeper, Dashlane e Talisman. I file della cronologia della shell, le credenziali di FileZilla e i file delle chiavi SSH vengono raccolti insieme a informazioni di base sul sistema: nome utente, versione di macOS, modello di CPU, RAM, dimensione del disco e indirizzo IP pubblico del dispositivo.

Un componente installa una backdoor basata sullo strumento open-source GSocket. Viene eseguito con il nome iCloud all'interno della cartella Library dell'utente e stabilisce una reverse shell verso il server degli aggressori. Tre meccanismi di persistenza lo mantengono in esecuzione dopo i riavvii: un LaunchAgent, una voce crontab e una modifica di un file RC della shell. A differenza degli altri moduli, questo componente non si autoelimina.

ClickLock Stealer adotta misure attive per evitare il rilevamento. Nasconde il cursore del Terminale, sopprime gli avvisi di sicurezza di macOS terminando ripetutamente NotificationCenter per ore e maschera i comandi di download del payload all'interno di testo dall'aspetto casuale. Diversi payload vengono inviati direttamente a bash senza toccare il disco. La maggior parte dei moduli si autoelimina dopo aver completato i propri compiti.

Conclusione

ClickLock Stealer è una minaccia grave perché prende di mira contemporaneamente password, portafogli e dati del Portachiavi, sopprimendo attivamente gli avvisi di sicurezza che potrebbero rivelarne la presenza. La sua persistente backdoor GSocket significa che gli aggressori possono mantenere l'accesso anche dopo che i moduli stealer hanno terminato l'esecuzione.

Group-IB ha identificato oltre 100 vittime in 33 paesi, con più della metà situate in Europa. La campagna appare motivata da ragioni finanziarie, concentrata su regioni ad alto reddito dove l'uso di macOS e delle criptovalute è comune. Se vi è motivo di credere che un Mac sia infetto, la rimozione deve essere considerata urgente.

Altri esempi di malware che prendono di mira macOS sono ShadeStager, PamStealer e Infiniti.

In che modo ClickLock Stealer si è infiltrato nel mio dispositivo?

ClickLock Stealer si diffonde attraverso una tecnica di ingegneria sociale nota come ClickFix. Gli utenti vengono indirizzati a false pagine di verifica, che spesso imitano le schermate CAPTCHA di Cloudflare, che li istruiscono ad aprire il Terminale e incollare un comando. L'esecuzione di quel comando avvia la catena di infezione, scaricando silenziosamente i componenti del malware sul Mac.

Le esche ClickFix osservate in questa campagna assumono diverse forme. Alcune impersonano i controlli di sicurezza di Cloudflare; altre si camuffano da documentazione software legittima o da post della comunità Apple che suggeriscono passaggi di manutenzione del Mac. In ogni caso, l'obiettivo è convincere l'utente a eseguire un comando del Terminale che ritiene innocuo.

I payload vengono forniti da siti web WordPress compromessi. Una volta che lo script orchestratore viene eseguito, scarica ciascuno dei moduli di ClickLock Stealer e inizia immediatamente a richiedere autorizzazioni a livello di sistema, incluso l'Accesso Completo al Disco. Il malware guida le vittime passo dopo passo nella concessione di questa autorizzazione, aprendo Impostazioni di Sistema direttamente nel pannello pertinente.

Come evitare il malware?

Prestate attenzione a qualsiasi sito web, pop-up o post online che vi chieda di incollare comandi nel Terminale, anche se la pagina sembra provenire da una fonte legittima come un prompt CAPTCHA, un programma di installazione software o una risorsa di supporto tecnico. Nessun processo di verifica o aggiornamento genuino richiede questo. Considerate qualsiasi istruzione di questo tipo come un campanello d'allarme.

Scaricate software solo dal Mac App Store o dai siti web ufficiali degli sviluppatori. Evitate il software piratato e mantenete aggiornati macOS e le applicazioni installate. Se il vostro computer è già infetto, consigliamo di eseguire una scansione con Combo Cleaner Antivirus per Windows per eliminare automaticamente tutte le minacce.

Esche ClickFix utilizzate per distribuire ClickLock Stealer (fonte: group-ib.com):

Rimozione automatica istantanea dei malware:

La rimozione manuale delle minacce potrebbe essere un processo lungo e complicato che richiede competenze informatiche avanzate. Combo Cleaner è uno strumento professionale per la rimozione automatica del malware consigliato per eliminare il malware. Scaricalo cliccando il pulsante qui sotto:

Scaricando qualsiasi software elencato in questo sito, accetti le nostre Condizioni di Privacy e le Condizioni di utilizzo. Per utilizzare tutte le funzionalità, è necessario acquistare una licenza per Combo Cleaner. Hai a disposizione 7 giorni di prova gratuita. Combo Cleaner è di proprietà ed è gestito da RCS LT, società madre di PCRisk.

Menu rapido:

• Cos'è ClickLock Stealer?
• Rimuovere file e cartelle correlati a ClickLock Stealer da OSX.

Rimozione delle applicazioni potenzialmente indesiderate:

Rimuovete le applicazioni potenzialmente indesiderate dalla cartella «Applicazioni»:

Fate clic sull'icona del Finder. Nella finestra del Finder, selezionate «Applicazioni». Nella cartella delle applicazioni, cercate «MPlayerX», «NicePlayer» o altre applicazioni sospette e trascinatele nel Cestino. Dopo aver rimosso l'applicazione o le applicazioni potenzialmente indesiderate che causano annunci online, eseguite una scansione del Mac per rilevare eventuali componenti indesiderati rimanenti.

Domande frequenti (FAQ)

Il mio dispositivo è infetto dal malware ClickLock Stealer, dovrei formattare il mio dispositivo di archiviazione per liberarmene?

La formattazione rimuoverà ClickLock Stealer, ma cancellerà anche tutti i dati memorizzati sul dispositivo. Prima di compiere un passo così drastico, è generalmente meglio provare prima uno strumento di sicurezza affidabile come Combo Cleaner.

Quali sono i problemi più gravi che il malware ClickLock Stealer può causare?

ClickLock Stealer può prosciugare i portafogli di criptovalute, esporre le password salvate, compromettere i dati del Portachiavi e fornire agli aggressori un accesso remoto persistente tramite la sua backdoor GSocket. Questo può comportare perdite finanziarie, furto di identità e violazione degli account.

Qual è lo scopo del malware ClickLock Stealer?

ClickLock Stealer è progettato per rubare dati sensibili, principalmente il contenuto dei portafogli di criptovalute, le credenziali del browser e le voci del Portachiavi. Installa inoltre una backdoor persistente in modo che gli aggressori mantengano l'accesso al Mac infetto dopo il furto iniziale.

In che modo il malware ClickLock Stealer si è infiltrato nel mio computer?

ClickLock Stealer viene distribuito tramite ClickFix. L'utente viene reindirizzato a una falsa pagina di verifica e gli viene detto di incollare un comando nel Terminale. L'esecuzione di quel comando scarica e installa il malware sul Mac.

Combo Cleaner mi proteggerà dal malware?

Sì, Combo Cleaner è in grado di rilevare e rimuovere la maggior parte delle minacce. Tuttavia, le minacce più avanzate possono essere ben nascoste nel sistema, quindi è importante eseguire una scansione completa per garantirne la completa eliminazione.