ClickFix: Mac-malware tømmer din kryptopung og Keychain

En ny bølge af ClickFix-angreb rammer Mac-brugere med en farlig infostealer, der stille og roligt monterer en skjult DMG-fil og tømmer din kryptopung, kopierer din Keychain-database og suger browseradgangskoder ud af otte Chromium-baserede browsere — alt mens du tror, du løser et teknisk problem på en hjemmeside.

Angrebet er blevet dokumenteret af sikkerhedsforskere hos BleepingComputer og Microsofts sikkerhedsteam. Det skiller sig fra tidligere ClickFix-varianter ved at automatisere monterings-processen fuldstændigt — ofret behøver kun paste én linje kode i Terminal, resten sker usynligt.

Sådan foregår angrebet trin for trin

ClickFix er en social engineering-teknik, der udnytter brugernes vilje til at "rette" et teknisk problem selv. Angrebsflowet i den nye macOS-variant er:

Trin 1 — Den falske CAPTCHA. Brugeren lander på en kompromitteret eller oprettet hjemmeside, der viser en fejlmeddelelse — typisk at siden ikke kunne bekræfte, at du er et menneske. En knap siger "Klik for at verificere" eller "Fix problemet her."

Trin 2 — Clipboard-kapring. I stedet for en normal CAPTCHA-boks kopierer siden automatisk en lang kommandolinje til dit klippebord og beder dig om at åbne Terminal (Applications → Utilities → Terminal) og indsætte den.

Trin 3 — Kommandoen kører. Kommandoen indeholder en curl-instruktion med stille flag (-fsSL) der henter en DMG-fil fra en ekstern server. Dernæst kører hdiutil attach -nobrowse — en macOS-systemfunktion, der monterer DMG-filen uden at vise den i Finder. Til sidst startes applikationen i disk-imaget automatisk.

Trin 4 — Falsk password-prompt. Malwaren — i dette tilfælde Atomic macOS Stealer (AMOS) — viser straks en falsk macOS-systemdialog, der beder om dit systemkodeord. Dialogen bruger Apples egne designelementer og ser identisk ud med den ægte. Mange brugere taster kodeordet ind uden at tænke sig om.

Hele angrebet fra første klik til aktiv malware tager under 30 sekunder og kræver intet teknisk kendskab fra offerets side.

Hvad stjæler malwaren?

Atomic macOS Stealer (AMOS) er en af de mest kapable Mac-infostealere til dato. I den aktuelle kampagne er dataindsamlingen opdelt i to bølger:

Kryptovaluta-wallets: Malwaren kopierer data fra elleve desktop-wallets: Exodus, Electrum, Atomic Wallet, Wasabi, Bitcoin Core, Litecoin Core, DashCore, Guarda, Binance Wallet, Dogecoin Wallet og TonKeeper. Desuden målrettes browser-udvidelser til kryptovaluta — inklusiv MetaMask og Phantom.

Det stopper ikke der: Malwaren erstatter de installerede Ledger Live og Trezor Suite med trojaniserede kopier. Næste gang du åbner din Ledger-app, er det en malware-version, der logger alt du gør — inklusiv dine recovery phrases.

Apple Keychain: Keychain-databasen kopieres i sin helhed. Det betyder, at alle adgangskoder gemt i Safari og macOS — Wi-Fi-koder, banklogins, app-kodeord, Apple ID-oplysninger — eksponeres. Keychain er macOS' kernekomponent til credential-opbevaring, og en fuld kopi er en komplet nøglering til offerets digitale liv.

Browsere: Data fra otte Chromium-baserede browsere hentes: Chrome, Edge, Brave, Opera, Arc, Vivaldi, CocCoc og Yandex Browser. Derudover rames Firefox-varianter som LibreWolf, SeaMonkey, Tor Browser, Waterfox og Zen. Det indhentede inkluderer gemte loginoplysninger, cookies, udfyldningsdata og kreditkortoplysninger.

Øvrige data:

• Telegram Desktop og Discord (tokens og chatlogs)
• Dokumenter (PDF, TXT, RTF-filer) fra hjemme-mappen
• Apple Notes
• Systeminfo og offentlig IP-adresse

Alle data pakkes i ZIP-arkiver og sendes til angribernes servere via krypterede forbindelser.

Hvad er ClickFix — og er Mac-brugere særligt i farezonen?

ClickFix opstod som en Windows-angrebsvektor i 2024 og spredtes primært via falske CAPTCHA-sider og fejlmeddelelser i browsere. I 2025 begyndte sikkerhedsforskere at dokumentere macOS-tilpasninger, og i 2026 er kampagnerne ifølge Microsofts Security Blog nu aktivt udviklet specifikt til Mac.

Den nyeste variation har lært at gemme sig: kampagnen bruger server-side browser-fingerprinting, der kun viser den falske CAPTCHA til besøgende, hvis browser-miljø ser ud som en ægte macOS-bruger. Bots og sikkerhedsscannere ser en anden side — og dermed undgår malwaren at blive opdaget og blokeret.

Mac-brugere undervurderer typisk truslerne, fordi macOS historisk har haft langt færre malware-varianter end Windows. Det er en antagelse, der i stigende grad er forældet. ClickFix kræver ikke at omgå Gatekeeper eller at finde en zero-day-sårbarhed i macOS — det kræver kun, at du følger en instruktion.

Sådan beskytter du din Mac

Den primære beskyttelse er adfærdsmæssig, ikke teknisk:

Åbn aldrig Terminal på opfordring fra en hjemmeside. Ingen legitim service — ikke Cloudflare, ikke Apple, ikke din bank, ikke Spotify — vil nogensinde bede dig åbne Terminal og indsætte kode for at "verificere" dig eller rette en fejl. Det er et angreb, hver gang.

Yderligere anbefalinger:

• Installer software udelukkende fra Mac App Store eller direkte fra den officielle udviklers hjemmeside
• Aktivér totrinsbekræftelse på din Apple-konto, kryptobørser og Gmail/Google
• Brug en hardware-wallet (Ledger, Trezor) til krypto-opbevaring i stedet for software-wallets — og download altid Ledger Live fra ledger.com, aldrig fra søgeresultater
• Hold macOS opdateret — Apples sikkerhedsopdateringer lukker kendte vektorer
• Overvej et standalone adgangskodeprogram (1Password, Bitwarden) der ikke udelukkende stoler på browser-baseret opbevaring

Hvis du mistænker, at du har kørt kommandoen: Sluk Mac'en omgående med tænd/sluk-knappen (hold den nede). Kontakt en IT-sikkerhedsspecialist, inden du tænder den igen — slet ikke log ind på kryptobørser eller net-banking fra den maskine.

Konklusion

Den nyeste ClickFix-kampagne til macOS er et eksempel på, at angriberne nu målretter Mac specifikt og tilpasser metoderne til Apples platform i stedet for at genbruge Windows-teknikker direkte. At angrebet udnytter en ægte macOS-systemfunktion (hdiutil) og bruger en falsk Apple-dialogboks gør det svært at opdage — og let at falde for.

Hold øje med opdateringer: Microsoft Threat Intelligence rapporterede den 5. august 2026 om kampagnens nyeste evolution med browser-fingerprinting. Nye varianter kan ændre præcis, hvilke hjemmesider der bruges som lokkemad — men teknikken med Terminal-kommandoer forbliver konstant. Lær den at kende.