這是一篇針對近期出現的 macOS 資訊竊取軟體 ClickLock 的技術分析。對於初入行的工程師來說，這類惡意軟體最值得關注的不是它的加密演算法，而是它如何利用「心理壓力」與「系統機制」來強迫使用者交出最高權限。
ClickLock 的核心邏輯與傳統的隱匿型惡意軟體不同，它在無法取得權限時，會採取一種極具侵略性的強迫手段，直到使用者妥協為止。
攻擊路徑與初步入侵
這類攻擊通常始於 ClickFix 類型的社交工程。攻擊者會誘導使用者在終端機 Terminal 中貼上並執行一段看似無害的指令。為了降低使用者的戒心，指令執行後會顯示一個偽造的 Cloudflare CAPTCHA 驗證畫面與進度條，讓使用者以為正在進行正常的系統驗證或更新。
實際上，這段指令會執行一個 shell 腳本，該腳本會禁用鍵盤的中斷訊號（防止使用者用 Ctrl+C 強制停止），隱藏游標，並從受駭的第三方伺服器下載多個 Payload（惡意載荷）。
權限獲取與強迫機制
惡意軟體的第一步是嘗試透過一個偽造的系統對話框要求使用者輸入登入密碼。如果使用者拒絕或取消，ClickLock 會立即進入其最惡名昭彰的強迫模式。
它會透過安裝兩個 LaunchAgents（macOS 的自動啟動代理服務，用於在背景執行任務）來實現持久化。其中一個代理服務會啟動一個極高頻率的循環，每 210 毫秒就強制關閉一次系統關鍵應用程式，包括 Finder（檔案瀏覽器）、Dock（程式碼欄）、Spotlight（搜尋）以及主流瀏覽器。
想像一下，你的電腦桌面不斷閃爍，所有開啟的視窗每秒鐘被關閉四到五次，而螢幕上唯一能操作的只有那個要求輸入密碼的對話框。這種設計旨在製造極大的焦慮感，讓使用者認為系統崩潰了，唯一的修復方法就是輸入密碼。
一旦使用者輸入密碼，惡意軟體會使用 dscl（Directory Service command-line utility，macOS 用於管理目錄服務的命令列工具）來驗證密碼是否正確。只有正確的密碼才會被發送到攻擊者的伺服器。
目標竊取清單
一旦獲取了登入密碼，ClickLock 的目標就是榨乾所有有價值的資訊：
瀏覽器憑證：它會竊取 Chrome 的 Safe Storage AES key（用於加密儲存密碼與 Cookie 的金鑰）。有了這個金鑰，攻擊者可以在自己的機器上離線解密所有儲存的帳號密碼。 數位資產：掃描並竊取加密貨幣錢包的擴充功能儲存資料以及桌面錢包檔案。 系統機密：竊取 macOS Keychain（鑰匙圈，儲存系統密碼的核心元件）、Shell 歷史紀錄以及 FileZilla 的伺服器連線資訊。
後門植入與隱匿
在完成資料竊取後，ClickLock 會植入一個名為 goyim 的後門程式。這個程式大量抄襲了開源隧道工具 GSocket 的程式碼，利用中繼伺服器建立加密的反向連線（Reverse Shell），讓攻擊者能遠端控制受害機器。
為了躲避偵測，它將自己偽裝成 SystemUIServerl（故意將系統進程 SystemUIServer 多加一個字母 l），並存放於 ~/Library/Application Support/iCloudsync 等看似正常的路徑下。
系統防禦的侷限性
Apple 其實在 macOS 26.4 中引入了防護機制，當終端機偵測到可疑慮的貼上行為時會發出警告。但 ClickLock 證明了社交工程依然有效，因為系統提供了一個「仍然貼上」的選項，只要使用者被欺騙，防線就會崩潰。
實務建議與應對
如果你或你的使用者遇到電腦應用程式異常集體崩潰，且螢幕出現要求輸入密碼的對話框，請絕對不要輸入任何資訊。
正確的處置流程是： 強制關機：長按電源鍵直到關機。 進入安全模式（Safe Mode）： - Intel 晶片：啟動時按住 Shift 鍵。 - Apple Silicon 晶片：長按電源鍵進入啟動選項，選擇磁碟後按住 Shift 鍵點擊「在安全模式下繼續」。 檢查並移除 ~/Library/LaunchAgents/ 下的可疑 .plist 檔案。 假設所有儲存的密碼、Cookie 與錢包金鑰已外洩，立即更改所有重要帳號密碼並撤銷所有瀏覽器登入會話（Session）。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。