في تطور مقلق لأمن أنظمة Apple، كشف باحثو الأمن السيبراني في شركة Group-IB عن برنامج خبيث جديد خطير يستهدف مستخدمي macOS، لا سيما في أوروبا، ويعتمد على تكتيكات الهندسة الاجتماعية الماكرة لسرقة البيانات الحساسة. يُعرف هذا التهديد باسم ClickLock Stealer، ويُظهر مدى تطور الهجمات التي لا تتطلب استغلال ثغرات معقدة أو امتيازات وصول عالية لتحقيق أهدافها.
ما هو ClickLock Stealer؟
يُطلق على هذا البرنامج اسم ClickLock Stealer، وهو ليس مجرد برمجية خبيثة تقليدية، بل هو بالأحرى آلية هندسة اجتماعية عالية العدوانية. تكمن خطورته في إظهاره المستمر لمطالبة تسجيل الدخول على شاشة جهاز الضحية، مما يدفعه في النهاية للامتثال وإدخال بيانات اعتماده. إليك أبرز ما يميز هذا التهديد:
- كشفت Group-IB عن ClickLock، وهو برنامج جديد لسرقة المعلومات يستهدف macOS، ويعتمد على الهندسة الاجتماعية العدوانية.
- يقوم البرنامج بإرسال مطالبات متكررة بكلمة المرور وإنهاء التطبيقات الرئيسية كل 210 مللي ثانية حتى يستسلم الضحايا.
- بعد الحصول على بيانات الاعتماد، يقوم بجمع بيانات المتصفح ومحافظ العملات المشفرة، وإدخالات مديري كلمات المرور، وتكوينات FTP، ومعلومات الجهاز، ثم يقوم بتصفيتها عبر واجهة برمجة تطبيقات بوت تليجرام.
- ينشط البرنامج منذ مايو 2026 (مع ملاحظة أن هذا قد يكون خطأ مطبعيًا في المصدر الأصلي)، وقد تم رصده في 33 دولة، معظمها في أوروبا. يتم توزيعه غالبًا عبر حملات ClickFix، ولم يتم اكتشافه من قبل بائعي الأمن حتى وقت قريب.
آلية عمل الهجوم
لزيادة الضغط على الضحية، يقوم ClickLock Stealer بإنهاء التطبيقات الرئيسية مثل Finder وDock وTerminal وغيرها كل 210 مللي ثانية. هذا الإجراء يجعل الجهاز غير قابل للاستخدام تقريبًا، مع استمرار ظهور مربع حوار كلمة المرور على الشاشة، مما يترك الضحية أمام خيار واحد: إدخال بيانات الاعتماد.
تستمر هذه الحلقة المزعجة لأكثر من ثلاثة أيام متواصلة، أو حتى يستسلم الضحية تمامًا للضغط ويقوم بإدخال المعلومات المطلوبة.
تفاصيل البيانات المسروقة
بمجرد حصول البرنامج على بيانات الاعتماد، تبدأ المرحلة الثانية من الهجوم حيث يبدأ ClickLock Stealer في استخراج معلومات قيمة من الجهاز. تتضمن هذه المعلومات بيانات حساسة من المتصفحات الشائعة (مثل Chrome وFirefox وBrave)، بما في ذلك عمليات تسجيل الدخول المحفوظة وملفات تعريف الارتباط وبيانات الملء التلقائي. كما يستهدف البرنامج محافظ العملات المشفرة وملحقاتها، ومحتويات خزائن كلمات المرور، وعناوين العملات المشفرة المخزنة مؤقتًا عبر منصات مثل EVM وBitcoin وSolana وTRON وTON وStacks. بالإضافة إلى ذلك، يجمع البرنامج سجلات الأوامر وتكوينات FileZilla FTP وبيانات الخادم الحديثة ومعلومات الجهاز الأساسية. تُجمع جميع هذه البيانات في أرشيف مضغوط بصيغة ZIP، ثم تُرسل سرًا عبر واجهة برمجة تطبيقات بوت تليجرام.
انتشار التهديد والاكتشاف
وفقًا لـ Group-IB، فإن هذه الحملة نشطة منذ مايو 2026 على الأقل (نكرر، مع الأخذ في الاعتبار احتمال وجود خطأ في التاريخ الأصلي)، مما يعني أنها مستمرة منذ عدة أشهر. وعلى الرغم من قيام أحد الباحثين بتحميل عينة من البرنامج إلى VirusTotal في أوائل يونيو، إلا أنه ظل غير مكتشف من قبل جميع مزودي حلول الأمن حتى وقت قريب جدًا.
تم رصد ClickLock Stealer حتى الآن في 33 دولة حول العالم، أكثر من نصفها يقع في القارة الأوروبية. يُرجح أن يتم توزيع هذا البرنامج الخبيث عبر حملات الهندسة الاجتماعية المعروفة باسم ClickFix، ولكن لم يتم ربطه بأي جهة تهديد معينة حتى الآن.
نصائح للحماية
- الحذر من المطالبات غير المتوقعة: كن حذرًا للغاية من أي مطالبة بكلمة مرور تظهر بشكل غير متوقع، ولا تقم بإدخال بياناتك إلا بعد التحقق من مصدرها.
- تحديث الأنظمة والبرامج: تأكد دائمًا من تحديث نظام macOS وجميع تطبيقاتك الأمنية بانتظام لضمان الحصول على أحدث التصحيحات الأمنية.
- استخدام مدير كلمات مرور موثوق: استخدم مدير كلمات مرور قوي وموثوق به لتخزين كلمات المرور المعقدة وتأمينها.
- تمكين المصادقة الثنائية (2FA): قم بتمكين المصادقة الثنائية على جميع حساباتك الهامة لإضافة طبقة أمان إضافية.
يشدد هذا التهديد الجديد على أن مستخدمي macOS ليسوا بمنأى عن الهجمات المعقدة. ولحماية أنفسهم، يُنصح المستخدمون بالحذر الشديد والالتزام بأفضل الممارسات الأمنية لتقليل المخاطر وحماية بياناتهم الحساسة.