ClickFix手法から「画面固定＆パスワード強制入力」へ：ClickLock ｜ブログ(ほぼこもセキュリティニュース)

ClickLock Stealerは、macOSを標的とする新しいインフォスティーラー型マルウェアです。
従来のスティーラーが「感染後に静かにバックグラウンドで情報を盗み出す」ものであったのに対し、ClickLock Stealerは被害者のOS操作を物理的に妨害して心理的に追い詰め、パスワードを被害者自身に直接入力させるという極めて異質なアプローチをとっています。
従来の類似の脅威との違いを意識しながら特徴を見てみましょう。

感染手法：静かな潜伏から「強圧的な操作妨害」へ
- 従来のスティーラー
  バックグラウンドで静かに動作し、保存されたブラウザのパスワードやクッキーを「こっそり」盗み出すのが一般的でした。
- ClickLock Stealer
  ファイルの暗号化こそ行わないものの、1秒間に約5回の頻度でFinder、Terminal、アクティビティモニタ、システム設定、各種ブラウザなどの主要プロセスを強制終了し続けます。
  これによりユーザはMacの操作を奪われ、画面上に残された偽のパスワード要求プロンプトに応じるしか選択肢がない状態に追い込まれます。
認証情報の取得：解析・奪取から「ローカル検証と心理的強要」へ
- 従来のスティーラー
  メモリ解析やデータベースの解読によって資格情報を割り出そうとします。
- ClickLock Stealer
  macOS標準のコマンド（dscl -authonly）を使って、画面に入力されたパスワードが正しいかを被害者のマシン上でリアルタイム検証します。
  間違ったパスワードを入れると何度も入力画面が繰り返し表示され、正しいパスワードが提供されるまで解放しません。
  正しいパスワードが得られて初めて、Keychain（パスワード管理機構）のロック解除とデータ窃取を進めます。
侵入経路：ClickFixの進化系（ユーザー自身に実行させる）
- 従来のスティーラー
  脆弱性の悪用（エクスプロイト）や管理者権限の獲得を狙うケースが多く見られました。
- ClickLock Stealer
  偽のCAPTCHAやエラー画面を使ってユーザ自身にTerminal（ターミナル）へコマンドを貼り付けさせる「ClickFix」手法を利用します。
  初期スクリプト実行段階では管理者権限すら不要で、OSの正規の仕組み（LaunchAgentsなど）を悪用して永続性を確立します。
感染後の挙動：自壊とバックドアのハイブリッド
- 従来のスティーラー
  一度情報を盗んだら処理を終了するか、一定の通信を維持します。
- ClickLock Stealer
  目的を果たしたコンポーネント（アプリ妨害用や窃取用のスクリプト）はタイムスタンプを改ざんした上で自己削除し、痕跡を消します。
  しかしその裏で、オープンソースツール（GSocket改変版）を使ったバックドア（iCloudsyncフォルダ内に設置）をしっかり残すため、調査が困難なまま永続的な遠隔操作を可能にします。

ClickLock Stealerは、偽の確認画面からユーザー自身にコマンドを実行させる「ClickFix」手法を悪用して侵入する新種のmacOS向けマルウェアです。
従来の潜伏型スティーラーとは異なり、画面上の主要アプリを強制終了し続けることで操作を妨害し、手動でのパスワード入力を強力に迫る点が特徴です。
さらに、入力されたパスワードの正誤をローカルで即座に検証したうえでKeychainや暗号資産ウォレットの情報を奪取し、バックドアを仕込んで永続的な潜伏を図ります。
Web上でターミナルへのコマンド貼り付けを求められた際は絶対に応じず、不審な画面固定が発生した場合は即座に端末を強制終了することが重要です。