ZoriaNews

Ne oldu?

macOS kullanıcılarını hedef alan ve "ClickLock" adı verilen yeni bir bilgi çalma yazılımı, sistemi adeta kilitleyerek kurbanları giriş şifresini vermeye zorlayan sinsi bir yöntemle yayıldı. Saldırılar, sahte Cloudflare insan doğrulama pencerelerini taklit eden web sayfalarındaki "ClickFix" kampanyalarıyla başlıyor. Kullanıcılar, bu sayfalarda yer alan yönlendirmeleri izleyerek macOS Terminal uygulamasına zararlı bir komutu kopyalayıp yapıştırıyorlar. Bu işlem tamamlandıktan sonra arka planda çalışmaya başlayan ClickLock, kullanıcı şifre talebini iptal etmeye çalışsa bile Finder, Dock ve internet tarayıcıları gibi tüm görünür sistem süreçlerini her 210 milisaniyede bir zorla kapatan bir sonlandırma döngüsü başlatıyor. Kullanıcı doğru parolayı girip sisteme yeniden erişene kadar bu döngü günlerce sürebiliyor.

Neden önemli?

Bu zararlı yazılımı geleneksel macOS tehditlerinden ayıran en önemli özellik, sistemdeki bir güvenlik açığından ziyade kullanıcının sabrını ve psikolojisini hedef almasıdır. Bilgisayarı tamamen devre dışı kalan ve hiçbir uygulamayı çalıştıramayan kurbanlar, sistemin normal haline dönmesi ümidiyle ekranda beliren sahte parola ekranına gerçek şifrelerini girmek zorunda hissetmektedir. Araştırmacılar, bu kilit ekranı döngüsünün bilgisayarda kesintisiz olarak 80 saatin üzerinde çalışabildiğini rapor etmiştir.

Şifre sisteme girildikten sonra ise asıl hırsızlık süreci devreye giriyor. Saldırganlar elde ettikleri sistem şifresi sayesinde macOS anahtar zincirine (Keychain) ve diğer kritik veri depolarına erişim izni kazanıyor. Buradan tarayıcılarda kayıtlı şifreler, tarayıcı çerezleri, kripto para cüzdanları ve şifre yöneticisi bilgileri sızdırılarak uzak sunuculara aktarılıyor.

Kim veya ne etkileniyor?

Zararlı yazılım, güncel sürümler dahil olmak üzere macOS işletim sistemine sahip tüm bilgisayarları doğrudan etkilemektedir. Araştırmalara göre, özellikle dijital varlıklarını tarayıcı eklentileri üzerinde tutan kripto para yatırımcıları ve tarayıcılarda hassas iş verileri saklayan kurumsal macOS kullanıcıları bu kampanyanın birincil hedefleri arasındadır. ClickLock'un macOS'un kendi yerleşik güvenlik protokollerini aşmak için kullanıcıyı Terminal komutu çalıştırmaya zorlaması, en güncel macOS sürümüne sahip cihazları dahi risk altına sokmaktadır.

Ne yapılmalı?

Bu tehditten korunmanın en etkili yolu, web sitelerinden kopyalanan bilinmeyen komutların Terminal ekranına yapıştırılmamasıdır. Güvenilir olmayan web sitelerinde karşınıza çıkan "insan doğrulama" veya "hata çözme" adımlarına karşı her zaman şüpheyle yaklaşmalısınız. Cihazınıza ClickLock bulaşması durumunda kesinlikle parolanızı girmemeli, bilgisayarı Güvenli Modda (Safe Mode) başlatarak zararlı başlangıç dosyalarını temizlemelisiniz. Ek olarak, işletim sistemi ve uygulama güncellemelerini yalnızca App Store veya resmi geliştirici web siteleri gibi doğrulanmış kaynaklardan gerçekleştirmeye özen göstermelisiniz.

Kaynaklar:
- Bleeping Computer
- SecurityWeek