Malware macOS yang Paksa Korban Berikan Password

Malware macOS yang Paksa Korban Berikan Password – Pengguna macOS kembali dihadapkan pada ancaman baru setelah para peneliti keamanan siber menemukan malware pencuri informasi (infostealer) bernama ClickLock.

Berbeda dengan malware pada umumnya yang berusaha mencuri data secara diam-diam, ClickLock menggunakan pendekatan yang lebih agresif dengan memaksa korban memasukkan kata sandi (password) sistem macOS melalui rekayasa sosial dan manipulasi antarmuka.

Menurut hasil analisis para peneliti, malware ini telah menginfeksi sedikitnya 100 perangkat di 33 negara sejak Mei 2026.

Yang lebih mengkhawatirkan, saat pertama kali dianalisis, malware tersebut belum terdeteksi oleh berbagai mesin antivirus yang tersedia di platform VirusTotal.

Serangan Berawal dari Modus ClickFix

Rantai serangan ClickLock diduga diawali menggunakan teknik ClickFix, yaitu modus rekayasa sosial yang mengarahkan korban untuk menyalin dan menjalankan perintah tertentu melalui aplikasi Terminal di macOS.

Korban biasanya diperlihatkan halaman verifikasi palsu yang menyerupai Cloudflare Human Verification lengkap dengan animasi proses pemeriksaan agar terlihat meyakinkan.

Saat perintah dijalankan, malware mulai melakukan berbagai aktivitas di belakang layar, antara lain:

• Menonaktifkan interupsi keyboard.
• Menyembunyikan kursor Terminal.
• Mengunduh modul malware tambahan.
• Menonaktifkan Notification Center macOS selama beberapa jam agar aktivitas mencurigakan tidak diketahui pengguna.

Dengan cara tersebut, korban tidak menyadari bahwa perangkatnya sedang dikompromikan.

Paksa Korban Masukkan Password macOS

Teknik yang paling menarik dari ClickLock adalah mekanisme pemaksaan (coercion mechanism) untuk memperoleh password sistem.

Pada tahap awal, malware menampilkan dialog login macOS palsu yang menggunakan nama pengguna asli beserta ikon Apple sehingga tampak seperti permintaan autentikasi resmi dari sistem operasi.

Apabila korban memasukkan password, data tersebut segera dikirim kepada pelaku melalui Telegram Bot API. Namun jika korban menutup atau membatalkan dialog tersebut, malware tidak berhenti.

Sebaliknya, ClickLock memasang mekanisme persistensi sehingga akan aktif kembali setiap kali pengguna masuk (login) ke sistem.

Menutup Hampir Seluruh Aplikasi

Setelah aktif kembali, ClickLock mulai menjalankan teknik yang jauh lebih agresif. Malware secara terus-menerus menghentikan berbagai aplikasi penting setiap sekitar 210 milidetik, termasuk:

• Finder
• Dock
• Terminal
• Activity Monitor
• Console
• System Settings
• Spotlight
• Browser web

Akibatnya, hampir seluruh aplikasi akan langsung tertutup sehingga korban hanya melihat dialog permintaan password di layar.

Kondisi tersebut dapat berlangsung hingga lebih dari 80 jam, atau sampai korban akhirnya memasukkan password yang benar.

Selain itu, ClickLock juga menggunakan dialog resmi Keychain untuk memperoleh izin mengakses Chrome Safe Storage Key, yang kemudian dapat dimanfaatkan untuk mendekripsi password, cookie, dan data browser yang tersimpan secara lokal.

Mencuri Berbagai Informasi Sensitif

Setelah memperoleh akses, ClickLock menjalankan modul pencurian data yang menargetkan berbagai informasi penting dari perangkat korban.

Data yang menjadi sasaran antara lain:

• Password yang tersimpan pada browser.
• Cookie dan data sesi (session).
• Informasi autofill.
• Bookmark browser.
• Penyimpanan lokal (local storage).
• Riwayat Terminal (shell history).
• Konfigurasi FileZilla.
• Informasi sistem dan alamat IP publik.

Selain itu, malware juga memburu aset kripto dengan mencuri data dari berbagai browser dan aplikasi dompet digital.

Targetnya meliputi:

• Google Chrome
• Firefox
• Brave
• Microsoft Edge
• Opera
• Vivaldi
• Arc
• Chromium

ClickLock juga mengumpulkan data dari ekstensi dompet kripto, berkas dompet digital (wallet files), hingga vault terenkripsi yang berpotensi dipecahkan secara offline.

Seluruh data hasil pencurian kemudian dikompresi menjadi arsip ZIP sebelum dikirim ke server pelaku melalui Telegram Bot API.

Backdoor untuk Akses Jarak Jauh

Selain mencuri data, ClickLock juga memasang backdoor berbasis versi modifikasi dari proyek GSocket.

Backdoor tersebut memungkinkan pelaku memperoleh akses jarak jauh secara permanen ke komputer korban melalui koneksi reverse shell.

Untuk mempertahankan keberadaannya, malware menggunakan beberapa teknik persistensi, seperti:

• LaunchAgent macOS.
• Crontab.
• Modifikasi berkas konfigurasi shell.

Berbeda dengan modul lain yang menghapus dirinya sendiri setelah dijalankan, komponen backdoor tetap bertahan di dalam sistem sehingga penyerang dapat kembali mengakses perangkat kapan saja.

Sulit Dideteksi

Para peneliti menilai ClickLock memiliki jendela deteksi (detection window) yang sangat sempit. Hal ini disebabkan oleh beberapa faktor, di antaranya:

• Menggunakan domain sah yang telah diretas.
• Modul malware menghapus dirinya sendiri setelah selesai dijalankan.
• Belum dikenali oleh banyak solusi antivirus.
• Mengirim data melalui Telegram sehingga lalu lintas jaringan tampak normal.

Meski demikian, aktivitas ClickLock masih dapat dikenali melalui beberapa indikator, seperti:

• Munculnya dialog password yang dijalankan oleh osascript.
• Penutupan aplikasi secara berulang.
• Akses massal ke direktori profil browser.
• Koneksi keluar menuju Telegram Bot API.

Rekomendasi Keamanan

Untuk mengurangi risiko menjadi korban serangan serupa, pengguna macOS disarankan menerapkan langkah-langkah berikut:

Bagi pengguna

• Jangan pernah menjalankan perintah Terminal yang berasal dari situs web atau pihak yang tidak dikenal.
• Waspadai halaman Cloudflare Human Verification yang meminta Anda membuka aplikasi Terminal.
• Jangan memasukkan password sistem apabila muncul dialog yang tidak sesuai dengan aktivitas yang sedang dilakukan.
• Pastikan macOS dan seluruh aplikasi selalu diperbarui ke versi terbaru.
• Gunakan solusi keamanan yang mampu mendeteksi aktivitas mencurigakan pada endpoint.

Bagi organisasi

• Edukasi pengguna mengenai modus ClickFix dan teknik rekayasa sosial terbaru.
• Batasi hak akses pengguna agar tidak menjalankan perintah administratif tanpa kebutuhan yang jelas.
• Pantau aktivitas Terminal, LaunchAgent, dan koneksi menuju layanan seperti Telegram Bot API.
• Terapkan solusi Endpoint Detection and Response (EDR) untuk mendeteksi perilaku anomali, bukan hanya berdasarkan tanda tangan malware.
• Lakukan pemantauan terhadap aktivitas proses yang menampilkan dialog autentikasi macOS secara berulang.

Kombinasi Serangan

ClickLock menunjukkan bahwa serangan terhadap macOS semakin mengandalkan kombinasi rekayasa sosial dan manipulasi antarmuka pengguna dibandingkan eksploitasi kerentanan teknis.

Dengan memanfaatkan dialog login palsu dan memaksa korban memasukkan password melalui penutupan aplikasi secara terus-menerus, malware ini berupaya memperoleh akses ke data sensitif tanpa harus mengeksploitasi kelemahan sistem operasi.

Kasus ini menjadi pengingat bahwa kewaspadaan pengguna tetap merupakan lapisan pertahanan terpenting. Menghindari menjalankan perintah Terminal yang tidak dipahami serta selalu memverifikasi setiap permintaan autentikasi dapat mencegah serangan seperti ClickLock sebelum berhasil mengompromikan sistem.

Sumber berita:

WeLiveSecurity