Security

ClickFix macOS-kampagne spreder infostealers

3 min læsning

Resumé

Microsoft har identificeret en ny ClickFix-lignende kampagne, der rammer macOS-brugere med falske fejlfindings- og utility-instruktioner hostet på blogs og indholdsplatforme. I stedet for at downloade apps bliver ofre narret til at køre Terminal-kommandoer, som omgår typiske macOS-appkontroller og installerer infostealers som Macsync, SHub Stealer og AMOS.

Brug for hjælp med Security?Tal med en ekspert

Introduktion

Microsoft overvåger en ClickFix-kampagne under udvikling, som nu målretter sig mod macOS-brugere via falsk fejlfindingsindhold og vildledende instruktioner til installation af utilities. Det er vigtigt, fordi angrebet bevæger sig væk fra traditionelle app-downloads og i stedet misbruger Terminal-kommandoer, hvilket hjælper angribere med at undgå nogle af de beskyttelser, brugere forventer ved almindelige macOS-applikationsinstallationer.

Hvad er nyt

Microsoft oplyser, at trusselsaktører poster falske macOS-råd på selvstændige websites, Medium, Craft og lignende brugerdrevne platforme. Lokkemidlerne hævder ofte at hjælpe med almindelige problemer som at frigøre diskplads eller løse systemfejl.

Vigtige ændringer i denne kampagne omfatter:

  • Brugere bliver instrueret i at indsætte Base64-kodede eller obfuskerede kommandoer i Terminal
  • Kommandoerne henter eksternt indhold og starter script-baserede loaders
  • Angribere bruger indbyggede værktøjer som curl, osascript og shell-fortolkere
  • Denne metode undgår de normale Gatekeeper-lignende kontroller, der anvendes på app bundles åbnet i Finder
  • Observerede payloads omfatter Macsync, SHub Stealer og AMOS

Microsoft identificerede også tre eksekveringsveje:

  • Loader install campaign
  • Script install campaign
  • Helper install campaign

På tværs af disse varianter er målet det samme: at indsamle legitimationsoplysninger og følsomme filer, etablere persistens og eksfiltrere data.

Hvorfor det er vigtigt for IT-administratorer

Malwaren går videre end simpelt tyveri af legitimationsoplysninger. Ifølge Microsoft kan disse infostealers indsamle:

  • Keychain-poster
  • iCloud-kontodata
  • Browser-legitimationsoplysninger
  • Telegram-data
  • Medier og dokumenter
  • Data fra cryptocurrency wallets

Nogle varianter erstatter også legitime crypto wallet-apps med trojaniserede versioner, hvilket øger risikoen for økonomisk tyveri.

For sikkerhedsteams er den større bekymring brugerudført eksekvering. Fordi offeret manuelt kører kommandoer i Terminal, reducerer angribere afhængigheden af ondsindede app-pakker og øger sandsynligheden for et vellykket kompromittering.

Anbefalede handlinger

Administratorer og sikkerhedsteams bør tage følgende skridt:

  • Uddan brugere i ikke at indsætte kommandoer i Terminal fra blogs, fora eller fejlfindingssider
  • Overvåg mistænkelig brug af curl, osascript, shell-fortolkere og uventet oprettelse af LaunchAgent eller LaunchDaemon
  • Undersøg staging-stier som /tmp/shub_<random ID> og usædvanlig oprettelse af arkiver i /tmp
  • Gennemgå detektioner for dataeksfiltration, prompts om legitimationsoplysninger og persistens knyttet til falske opdateringstjenester
  • Prioritér beskyttelse af crypto-relaterede apps og følsomme brugerdata-lagre som Keychain

Konklusion

Denne ClickFix macOS-kampagne viser, hvordan social engineering tilpasser sig for at omgå traditionelle app-baserede forsvar. For forsvarere er brugerbevidsthed, endpoint-overvågning og detektion af mistænkelig script-eksekvering nu afgørende for at stoppe disse infostealer-kæder, før data bliver stjålet.

Brug for hjælp med Security?

Vores eksperter kan hjælpe dig med at implementere og optimere dine Microsoft-løsninger.

Tal med en ekspert

Hold dig opdateret om Microsoft-teknologier

Læs den originale artikel af Microsoft Defender Security Research Team
macOS securityClickFixinfostealerMicrosoft Defendermalware

Relaterede indlæg

Security

AiTM phishing-kampagne rammer Microsoft 365-brugere

Microsoft har beskrevet en storstilet adversary-in-the-middle (AiTM) phishing-kampagne, der brugte falske undersøgelser af adfærdskodeks til at stjæle autentificeringstokens. Angrebet kombinerede veludført social engineering, iscenesatte CAPTCHA-sider og et legitimt Microsoft-sign-in-flow, hvilket understreger, hvorfor phishing-resistente beskyttelser og stærkere e-mailforsvar er vigtige.

Security

CVE-2026-31431 Linux-sårbarhed forklaret

Microsoft har beskrevet CVE-2026-31431, en alvorlig lokal privilege escalation-sårbarhed i Linux, som kan give root-adgang på tværs af store distributioner og cloud-hostede workloads. Problemet er vigtigt, fordi det påvirker miljøer med delt kernel som containere og Kubernetes, hvilket øger risikoen for container escape, lateral movement og kompromittering af værter, hvis systemer ikke patches hurtigt.

Security

Microsoft Agent 365 GA med AI- og sikkerhedskontrol

Microsoft Agent 365 er nu generelt tilgængelig for kommercielle kunder og giver IT- og sikkerhedsteams en samlet kontrolflade til at observere, styre og sikre AI-agenter på tværs af Microsoft 365, endpoints og cloudmiljøer. Nye preview-funktioner udvider også synligheden til shadow AI, lokale Windows-agenter, multicloud-agentplatforme og policybaserede kontroller via Defender og Intune.

Security

E-mailtrusselslandskab Q1 2026: Microsoft-indsigter

Microsoft rapporterer 8,3 milliarder registrerede phishingmails i Q1 2026, mens QR-kode-phishing mere end fordobledes, og kampagner med CAPTCHA-gating udvikler sig hurtigt. Resultaterne er vigtige for sikkerhedsteams, fordi angribere i stigende grad går efter linkbaseret tyveri af legitimationsoplysninger, mens indsatsen mod Tycoon2FA viser, at koordinerede tiltag kan reducere phishingens effekt.

Security

Microsoft Security-opdateringer til Agent 365

Microsoft har annonceret nye sikkerhedsfunktioner på tværs af Agent 365, Defender for Cloud, GitHub Advanced Security og Microsoft Purview. Opdateringerne fokuserer på at forbedre synligheden i AI-agentaktivitet, styrke beskyttelsen fra kode til runtime og accelerere datasikkerhedsundersøgelser for sikkerheds- og IT-teams.

Security

CISO-risikogennemgange: 8 bedste praksisser

Microsoft har offentliggjort en praktisk ramme, der hjælper CISOs og sikkerhedsledere med at gennemføre mere effektive risikogennemgange i takt med stigende AI-understøttede cybertrusler. Vejledningen fokuserer på otte gennemgangsområder – fra aktiver og applikationer til autentificering, autorisation og netværksisolering – for at hjælpe organisationer med at gå fra reaktiv respons til proaktiv risikoreduktion.