Huntressのマネージド・ディテクション・アンド・レスポンス（MDR）サービスチームは、ClickFix攻撃で使用されるGoベースのマルウェアがmacOSユーザーの暗号資産、ブラウザに保存されたパスワード、Appleキーチェーンのデータ、およびキャッシュされた資格情報を盗むことを検出しました。このマルウェアは、さまざまな暗号通貨での取引を傍受して転送し、取引の総額を計算して攻撃者に転送する金額を決定することができます。

マルウェアは、ユーザーがTerminalでコマンドを実行することを要求する電子メールを介して配布されます。このコマンドは、システム情報を収集し、マルウェアをロードするBashスクリプトをダウンロードします。スクリプトは、ユーザー名を特定し、trustdという名前のディレクトリを作成します。マルウェアは、com.apple.verifiedという名前でこのディレクトリにコピーされ、Gatekeeperがファイルを検疫下に置かないようにcom.apple.quarantine拡張属性を削除します。

マルウェアは、システム資格情報を収集することで、持続性と特権の向上を可能にします。さらに、ブラウザのパスワードデータベース、Appleキーチェーン、およびブラウザのクッキーにキャッシュされた資格情報などのストレージ領域に保存された資格情報を標的にします。