ClickFix auf macOS: Ein eingefügter Befehl leert die Krypto-Wallet stückweise
Eine von Huntress analysierte ClickFix-Kampagne gegen macOS endet damit, dass das Opfer selbst einen einzigen Befehl in Terminal einfügt und damit den Schlüsselbund, die Browser-Passwörter und womöglich einen Teil seiner Kryptowährung aus der Hand gibt. Die Forscher veröffentlichten ihre Analyse am 6. August 2026, nachdem eine rückblickende Bedrohungssuche im Juni einen in Go geschriebenen Stealer zutage gefördert hatte, der seit März auf einem überwachten Mac sass, rund neunzig Tage lang unbemerkt.
Wie der ClickFix-Angriff auf macOS funktioniert
Der Köder folgt dem inzwischen vertrauten ClickFix-Muster: eine E-Mail mit Link, eine Seite mit gefälschtem CAPTCHA oder einer erfundenen Fehlermeldung und die Aufforderung, sich durch einen Befehl im Terminal zu "verifizieren". Auf dem Weg hinein wird nichts ausgenutzt. Der Exploit ist der Nutzer, und der eingefügte Befehl erledigt den Rest.
Dieser Befehl holte ein Bash-Skript von einer Adresse der Angreifer, führte es aus, löschte es und räumte anschliessend das Terminal-Fenster und die Befehlshistorie auf, damit nichts Offensichtliches zurückblieb. Das Skript diente als Profiler und Loader: Es fragte die Hardware mit Werkzeugen ab, die jeder Mac-Admin kennt, prüfte die Prozessorarchitektur und lud eine von zwei in Go gebauten Mach-O-Nutzlasten nach, eine für Apple Silicon und eine für Intel.
Was der Stealer mitnimmt
Einmal gestartet, durchsuchte die Nutzlast die Festplatte nach Dateien, in denen Zugangsdaten liegen. Laut Huntress umfasst die Beute Passwortdatenbanken der Browser, zwischengespeicherte Zugangsdaten in Cookies und Inhalte des Apple-Schlüsselbunds, der auf einem typischen Mac das lohnendste Ziel überhaupt ist. Alles Eingesammelte ging an eine externe Adresse.
Um an Systembereiche zu kommen, die ein normaler Nutzerprozess nicht erreicht, liess die Malware per osascript ein Fenster erscheinen, das wie eine gewöhnliche macOS-Passwortabfrage aussieht, verpackt als Bitte, beschädigte Systemdateien wiederherzustellen. Das ist ein Dialog, den das Betriebssystem selbst so hätte zeigen können, und die Eingabe des Passworts vollendet die Kompromittierung.
Die DRAIN-Funktion und warum Teildiebstahl neu ist
Bemerkenswert ist eine Routine, die die Autoren DRAIN genannt haben. Sie sucht nach Wallets für Bitcoin, Litecoin, Dogecoin, Monero, Ethereum und XRP und bringt eine fest einprogrammierte Liste von Adressen mit, die den Angreifern gehören.
Krypto-Drainer räumen ein Wallet üblicherweise in einem Zug leer, weil der Betreiber von einem einzigen Versuch ausgeht, bevor das Opfer es merkt. Hier gibt es eine Variable DRAIN_PCT und je Währung eine Logik, die berechnet, wie viel ein bestimmter Prozentsatz des Guthabens wert ist, damit ein Anteil statt alles abfliessen kann. Huntress zufolge ist das der erste analysierte Drainer, der dem Opfer bewusst das Wechselgeld lassen konnte. Ein Wallet, dem leise ein Prozent fehlt, sieht aus wie eine Gebühr, ein Rundungsfehler oder eine trübe Erinnerung, und ein Diebstahl, den niemand meldet, ist ein Diebstahl, der sich wiederholen lässt.
Persistenz und Infrastruktur
Die Malware hielt sich am Leben, indem sie sich unter einem Pfad versteckte, der Apples eigene Softwareupdate-Komponenten im Library-Ordner des Nutzers imitiert, und sich über launchctl im Background Task Management registrierte. Das ist ein Ort, in den kaum jemand hineinschaut, und ein Name, den kaum jemand hinterfragt.
Loader-Host, Payload-Server und Command-and-Control-Endpunkt führten allesamt zu Infrastruktur der Aeza Group, eines russischen bulletproof Hosters. Aeza wurde im Juli 2025 von den USA und im November 2025 von Grossbritannien und Australien sanktioniert, weil das Unternehmen Ransomware-, Infostealer- und andere kriminelle Operationen beherbergt. Trotz dieser Sanktionen bediente dieselbe Infrastruktur auch diese Kampagne.
Wie Sie sich schützen
- Terminal-Anweisungen als feindlich behandeln: Wer keine Befehle einfügt, die er nicht selbst geschrieben und nicht verstanden hat, stoppt diese gesamte Angriffsklasse.
- Unerwarteten Passwortabfragen misstrauen: Ein Dialog, der aus dem Nichts nach dem Mac-Passwort fragt, um "Systemdateien zu reparieren", ist ein Warnsignal, und Abbrechen kostet nichts.
- Grössere Kryptobestände nicht auf dem Alltagsrechner halten: Eine Hardware-Wallet hält die Signaturschlüssel von jeder Software fern, die es auf den Mac geschafft hat.
- Salden abgleichen, nicht nur Schlagzeilen: Teilabflüsse sind darauf ausgelegt, im Rauschen zu verschwinden, deshalb verdienen kleine unerklärliche Abgänge dieselbe Aufmerksamkeit wie ein leergeräumtes Wallet.
- Auf DNS-Ebene filtern: Die Köderseite muss erst geladen werden, und sie zu blockieren ist billiger als das Aufräumen danach.
Zwischenablage und Browser sind still und leise zur weichsten Stelle im Krypto-Stack geworden, und das ist kein Einzelfall: Ein kompromittiertes Werbeskript wurde kürzlich dabei erwischt, wie es Wallet-Adressen auf Tausenden legitimer Seiten umschrieb, und die von solchen Stealern eingesammelten Zugangsdaten landen in denselben aggregierten Sammlungen, aus denen der Fall der 24 Milliarden geleakten Passwörter in einer offenen Datenbank entstand. Weil der erste Schritt der Kette immer eine Seite ist, die geladen werden muss, zählt Filterung auf Netzwerkebene mehr als früher, weshalb viele Privatsphäre-Werkzeuge heute DNS-Blocklisten mitbringen, die den Köder stoppen, bevor der Nutzer das gefälschte CAPTCHA überhaupt sieht.
