חוקרי חברת אבטחת המידע Group-IB חשפו נוזקה חדשה למחשבי מק בשם ClickLock, שמשלבת שיטת הדבקה מוכרת עם תעלול פסיכולוגי אכזרי במיוחד. אחרי שהיא מקבלת דריסת רגל במחשב, היא מציגה חלון סיסמה שנראה בדיוק כמו של macOS ובמקביל סוגרת שוב ושוב את כל התוכנות הפתוחות, כולל ה-Finder וה-Dock, עד שהקורבן מתייאש ומקליד את הסיסמה האמיתית שלו.

לפי הניתוח, שפרסם החוקר Boris Martynyuk, הקובץ הזדוני הראשון עלה ל-VirusTotal כבר ב-9 ביוני עם אפס גילויים מצד מנועי האנטי וירוס. מאז מאי 2026 זיהתה החברה לפחות מאה קורבנות ב-33 מדינות, יותר ממחציתם באירופה, עם ריכוז בקרב בעלי ארנקי קריפטו במדינות עם הכנסה גבוהה ואימוץ נרחב של מק.

איך ClickFix הפכה לשיטת ההדבקה הפופולרית של 2026

ClickLock משתמשת בטכניקה שכבר מוכרת היטב ממתקפות על משתמשי Windows ונקראת ClickFix, ולעיתים גם pastejacking. הרעיון פשוט: במקום לשכנע את הקורבן להוריד קובץ חשוד, האתר הזדוני משכנע אותו להעתיק פקודה ולהריץ אותה בעצמו בטרמינל או בשורת הפקודה, בתירוץ של תיקון תקלה או אימות זהות. השיטה הזו כבר עומדת מאחורי כמה מהנוזקות הפעילות ביותר על Windows, כמו TELEPUZ שדווח עליה השבוע, ועכשיו היא מגיעה במלוא העוצמה גם למק. הסיבה מובנת: ככל שיותר בעלי נכסים דיגיטליים עוברים למחשבי אפל, כך עולה הכדאיות הכלכלית עבור התוקפים לפתח כלים ייעודיים לפלטפורמה שנחשבה בעבר בטוחה יחסית.

הפיתיון: מסך אימות מזויף שמוביל להדבקה עצמית

ההדבקה מתחילה באתר שמחקה תהליך אימות של Cloudflare. הקורבן רואה באנר שכותרתו "CLOUDFLARE CAPTCHA ACCESS CONTROL" ופס התקדמות מונפש שמציג הודעות כמו "מוודא שאינך רובוט" ו"אוסף נתוני דפדפן". החוקרים מצאו שהדף אף מקבל פרמטר RAY_ID כדי להיראות אותנטי, בדיוק כמו אימות Cloudflare אמיתי, אף שלפרמטר הזה אין שום תפקיד טכני בנוזקה עצמה. כל המסך הוא הנדסה חברתית טהורה שמטרתה היחידה לשכנע את המשתמש שהוא מבצע פעולה לגיטימית כשבפועל הוא מדביק ומריץ סקריפט זדוני בטרמינל.

המנעול: חלון סיסמה מזויף ולולאת חסימה בת כ-83 שעות

זה השלב שהופך את ClickLock למיוחדת. הסקריפט הראשוני מפעיל פקודת osascript שבונה חלון סיסמה שנראה טבעי לחלוטין: הוא משתמש בשם המשתמש האמיתי של הקורבן ובאייקון של אפל שהוא מוריד במיוחד לצורך זה. אם המשתמש מסרב להקליד את הסיסמה, הנוזקה לא מוותרת. היא נכנסת ללולאה שסוגרת אפליקציות כמו Finder, Dock, טרמינל, Activity Monitor, דפדפנים ו-SystemUIServer כל 210 עד 300 אלפיות שנייה, במשך כמעט 83 שעות רצופות או עד שהסיסמה נמסרת, לפי המוקדם מביניהם. לפי Group-IB, המטרה היא להפוך את המחשב לבלתי שמיש לחלוטין, כך שחלון האימות של ה-Keychain נשאר האלמנט האינטראקטיבי היחיד שנותר על המסך. בנוסף, הנוזקה חוסמת במשך כשש שעות רצופות גם את NotificationCenter, כדי שהתראות אבטחה של Gatekeeper לא יצליחו לצוץ ולהזהיר את המשתמש. אחרי שהסיסמה מוקלדת, הנוזקה מוודאת שהיא נכונה בעזרת הפקודה dscl לפני שהיא ממשיכה הלאה.

מה הנוזקה גונבת, ואיך היא נשארת במערכת

ברגע שיש לה סיסמה תקפה, ClickLock פותחת את כל הדלתות. היא שואבת נתונים משמונה דפדפנים, כולל Chrome, Firefox, Brave, Edge, Arc ו-Vivaldi: סיסמאות שמורות, עוגיות, נתוני מילוי אוטומטי וסימניות. היא מכוונת גם ל-31 תוספי ארנקי קריפטו מבוססי Chromium ושבעה תוספים דומים בפיירפוקס, בהם MetaMask, Phantom, Coinbase Wallet ו-Trust Wallet, וכן לשבעה מנהלי סיסמאות נפוצים כמו Bitwarden, 1Password ו-LastPass. ארנקי קריפטו נפרדים כמו Exodus ו-Electrum, פרטי חיבור של תוכנת FTP בשם FileZilla, והיסטוריית פקודות מה-shell נשדדים גם הם. כתובות ארנק על גבי רשתות כמו ביטקוין, סולנה ו-TON מחולצות בעזרת חיפוש תבניות טקסט, גם בלי לפצח את ההצפנה שלהן, ומועברות הלאה לניתוח מאוחר יותר.

עוד לפני שלב הגניבה עצמו, הנוזקה עורכת סיור קצר במחשב הקורבן. היא אוספת שם משתמש, גרסת macOS, סוג המעבד, כמות הזיכרון, נפח הדיסק וגם כתובת IP ציבורית דרך שירות חיצוני, כדי לבנות פרופיל מלא של המכשיר לפני שהיא ממשיכה לשלב הבא. אחרי שהיא סיימה לשאוב את המידע, רוב הרכיבים מוחקים את עצמם באופן אוטומטי, ו-Group-IB מציינת שהנוזקה גם מזייפת חותמות זמן על הקבצים שהיא יוצרת ומוחקת, כדי להקשות על חוקרי פורנזיקה לשחזר את סדר האירועים בדיעבד. הקבצים הזדוניים עצמם התארחו לפחות בשלושה אתרים שנפרצו מראש ושימשו כתחנת מעבר: אתר פיליפיני בשם panalobet.ph, דומיין בשם store.grafsynergy.com, ואפילו אתר ישראלי, cottonbox.co.il, שכנראה נפרץ ושימש בלי ידיעת בעליו כתשתית אחסון זמנית לרכיבי הנוזקה.

להישרדות במערכת, הנוזקה יוצרת שני LaunchAgents בשם com.authirity.plist ו-com.chromer.plist בתיקיית ~/Library/LaunchAgents, ומתקינה גם דלת אחורית מבוססת הכלי הפתוח GSocket, שמוסווית כשירות של iCloud תחת השם iCloudsync ומתחזה בתהליכי המערכת לשם SystemUIServerl. בשונה משאר הרכיבים שמוחקים את עצמם בסיום הפעולה, הדלת האחורית הזו נשארת פעילה ומאפשרת גישה מרחוק גם אחרי שהגניבה העיקרית הושלמה. כל התקשורת והשליחה של המידע הגנוב יוצאת דרך API של בוט טלגרם, עם קוד וזיהוי צ'אט קבועים מראש בקוד, ואם קובץ עולה על 40 מגה-בייט הוא מפוצל אוטומטית לחלקים קטנים יותר לפני השליחה.

מי מאחורי ClickLock, ולאן זה מתפתח

Group-IB עדיין לא מייחסת את הפעילות לקבוצת תקיפה מוכרת, ומסמנת את המפתחים בפורטל המודיעין שלה בשם העבודה "ClickLock Dev". קצב הפיתוח המהיר, כמו גם השימוש הנרחב בקוד פתוח קיים (כ-80 אחוז מקוד הדלת האחורית מבוסס על סקריפט קוד פתוח בשם deploy.sh), מרמזים על צוות קטן ויעיל יותר משהוא מבצע תחכום טכני חסר תקדים, ומראים עד כמה קל היום להרכיב נוזקה מסוכנת מרכיבים זמינים לכל אחד. מה שבאמת בולט הוא הבחירה המודעת בפלטפורמה: עד לאחרונה רוב נוזקות ה-ClickFix התמקדו כמעט אך ורק במשתמשי Windows, ו-ClickLock מצטרפת למגמה רחבה יותר של 2026 שבה קבוצות תקיפה מתחילות להשקיע בכלים ייעודיים למק, בעיקר כדי להגיע לקהל בעלי הנכסים הדיגיטליים שמרוכז שם. "לעולם אל תדביקו פקודות בטרמינל מתוך אתר אינטרנט, לא משנה כמה העמוד נראה אמין", כתבו החוקרים בהמלצותיהם, וההמלצה הזו נכונה היום לכל פלטפורמה, לא רק לווינדוס.

המעניין מלבד גובה ההתחכמות הפסיכולוגית, ClickLock לא מסתמכת על שום חולשת אבטחה. אין כאן ניצול של קוד זדוני מורכב ואין קוד שמנצל באג במערכת ההפעלה. כל שרשרת ההדבקה נשענת אך ורק על הנדסה חברתית ועל אינטראקציה כפויה מול הקורבן, מה שהופך אותה לקשה יותר לחסימה בכלים טכניים בלבד.

מי שנתקל בתופעה של אפליקציות שנסגרות שוב ושוב לצד בקשה בלתי מוסברת להקליד סיסמה, כדאי שיכבה את המחשב באמצעות לחיצה ארוכה על כפתור ההפעלה במקום להיכנע ולהקליד אותה. לאחר מכן שווה לבדוק את התיקייה ~/Library/LaunchAgents/ לאיתור קבצים חשודים, ואם יש חשד שהסיסמה כן נמסרה, להחליף אותה מיידית ולנתק את כל ההפעלות הפעילות בדפדפנים ובחשבונות הענן. צוותי אבטחה בארגונים, מצידם, כדאי שיוסיפו התראה על כל תהליך osascript שפותח חלון סיסמה עם אייקון מותאם אישית מתיקיית /tmp, ועל פעילות pkill או killall שתוקפת תהליכי מערכת בקצב של כמה עשרות אלפיות שנייה, כי אלה שני הסימנים הברורים ביותר לניסיון הדבקה מהסוג הזה.