Nový malware na Macu vás požádá o heslo, a pak vysaje klíčenku, peněženku i zprávy. Antivirus ho nevidí

Kampaň ClickFix cílí na uživatele Macu bez jediného exploitu. Stačí jí, abyste sami vložili příkaz do Terminálu a zadali své přihlašovací heslo.

Zdroj fotografie: Uživatel Paowee / Creative Commons / CC BY-SA

Výzkumníci z Netskope Threat Labs popsali v dubnu a červnu 2026 dvě vlny útoku, který nepoužívá žádnou systémovou zranitelnost, žádný kernel exploit, žádný zero-day. Místo toho spoléhá na to, že uživatel uvěří falešné webové stránce, zkopíruje si z ní příkaz a vloží ho do Terminálu. Od té chvíle se v paměti rozběhne řetězec, který sklidí klíčenku, session cookies, data z komunikačních aplikací, kryptoměnové peněženky, a v novější variantě si ještě zajistí trvalý přístup do systému. Celé to trvá vteřiny a na disk přitom nespadne jediný klasický spustitelný soubor.

Jak se do Macu dostane: žádný virus, jen váš Terminál

Vstupní brána vypadá nevinně. Oběť narazí na kompromitovaný web nebo stránku řízenou útočníkem, může jít o falešný macOS utility web, napodobeninu GitHubu nebo lokalizovanou stránku technické podpory. Web podle user-agentu pozná, že jde o Mac, a podstrčí do schránky příkaz pro Terminál. Stačí ho vložit a potvrdit.

Po spuštění se přes curl stáhne druhá fáze přímo do osascript, interpretu AppleScriptu, který je součástí každého Macu. Žádná instalace, žádné stahování .dmg souboru, žádné varování od Gatekeeperu. Apple sice přes Gatekeeper a notarizaci hlídá stahované aplikace, ale tady se žádná aplikace nestahuje. Uživatel spouští příkaz v legitimním systémovém nástroji, a to je přesně ta mezera, kterou kampaň zneužívá.

Ještě než loader stáhne hlavní payload, posbírá o oběti telemetrii: externí IP adresu, hostname, verzi macOS, locale. A jeden detail, který leccos napoví o původu kampaně: pokud najde ruské rozložení klávesnice, sám se vypne.

Falešný dialog, který vás nepustí

Klíčový moment přijde vzápětí. Na obrazovce se objeví dialog, který vypadá jako systémové Předvolby. Titulek říká „System Preferences“, v rohu svítí ikona zámku vytažená přímo ze systémového CoreTypes.bundle, textové pole pro heslo je maskované. Zpráva zní: „Měli byste aktualizovat nastavení, aby se aplikace spustila.“ Jediné tlačítko je „Continue“.

Jenže nejde o systémový dialog. Je to AppleScript display dialog, který nemá zavírací tlačítko a drží uživatele ve smyčce. Zadané heslo okamžitě ověřuje příkazem dscl . authonly; pokud je špatné, dialog se vrátí. Uživatel nemá jak okno zavřít, aniž by zadal správné přihlašovací heslo k macOS. A právě toto heslo je klíč ke všemu dalšímu.

Nejde totiž o heslo k nějaké webové službě. Je to heslo, kterým se odemyká klíčenka, úložiště, kde macOS drží uložená hesla k webům, Wi-Fi sítím, VPN, šifrovací klíče, digitální identity i bezpečnostní poznámky.

Co všechno malware sebere

S platným heslem v ruce malware kopíruje celý adresář ~/Library/Keychains/ včetně databáze login.keychain-db. Vytahuje Safe Storage klíče pro Chrome, Brave a Edge. Dubnová varianta cílila na více než 200 rozšíření prohlížeče, nejen kryptopeněženky, ale i správce hesel, 2FA rozšíření a firemní VPN/SSO doplňky.

A pak jsou tu zprávy. Přesněji řečeno:

• Telegram — session data z adresáře tdata/ a soubor key_datas
• Discord — tokeny z Local Storage/leveldb/
• Steam — přihlašovací soubory a data „Remember Me“
• Apple Notes — databáze NoteStore.sqlite včetně příloh

Kompletní export iMessage nebo chatů z WhatsApp a Signalu analýza nedokládá. Ale krádež live session cookies a tokenů je v jistém smyslu horší než krádež hesla, protože umožňuje obejít dvoufaktorové ověření bez znalosti hesla ke konkrétní službě.

Novější varianta z konce května 2026 přidala další rozměr. Cílí na více než 100 kryptoměnových rozšíření v Chromiu a 25 desktopových peněženek: MetaMask, Exodus, Electrum, Atomic, Guarda, Coinomi, Sparrow, Wasabi, Bitcoin Core a další. Po exfiltraci dat navíc přepíše jádro aplikace (app.asar) u pěti z nich: Exodus, Atomic Wallet, Ledger Wallet, Ledger Live a Trezor Suite. Podvrženou verzi pak podepíše ad-hoc příkazem codesign, takže Gatekeeper varování neukáže; nejde totiž o nově staženou aplikaci, ale o lokální úpravu už nainstalovaného softwaru.

A právě tohle je podle nás nejdůležitější posun oproti starším macOS stealerům. Nejde jen o jednorázové vysátí dat. Jde o podvržení nástrojů, kterým uživatel důvěřuje, a o trvalý vzdálený přístup.

Proč ho antivirus „nevidí“ a co to přesně znamená

Tvrzení, že ho antivirus nevidí, si zaslouží upřesnění. Řetězec je z velké části bezesouborový: první fáze se dekóduje a vyhodnotí v paměti, druhá fáze se stáhne přímo do osascript. Od vložení příkazu do schránky po krádež dat nevznikne na disku klasický statický artefakt, který by signaturový skener zachytil. Netskope výslovně uvádí, že vzorek označený „Meow (DEBUG)“ v době objevu na VirusTotal nebyl.

To ale neznamená, že je malware absolutně neviditelný. Specializované behaviorální detekce existují a bezpečnostní firmy signatury postupně doplňují. Přesnější formulace zní: uniká běžné statické a signaturové detekci, jakou nabízí většina předinstalovaných nebo základních antivirových řešení. Kdo spoléhá jen na to, že mu antivirus „něco ukáže“, má problém.

Co dělat: kontrola i obrana

Apple v červnu 2026 vydal novou ochranu, která v Terminálu varuje při vkládání podezřelých příkazů ze schránky. Aktualizace macOS je proto první krok.

Pokud chcete zkontrolovat, zda váš Mac nebyl zasažen, hledejte tyto stopy:

• Soubor com.apple.accountsd.plist v ~/Library/LaunchAgents/ nebo /Library/LaunchDaemons/
• Adresář /Library/Application Support/.com.apple.accountsd/
• Dočasné cesty /tmp/shub_ a archiv /tmp/shub_log.zip

Pokud jste příkaz do Terminálu už vložili a spustili, předpokládejte kompromitaci. Změňte přihlašovací heslo k macOS i hlavní hesla k účtům. Odhlaste aktivní relace všude, kde to jde; ukradené session cookies fungují i bez vašeho hesla. Desktopové kryptopeněženky na dotčeném Macu považujte za nedůvěryhodné a přeinstalujte je z ověřeného zdroje.

Pro český kontext: ESET v dubnu 2026 potvrdil, že technika ClickFix v prvním čtvrtletí roku cílila na české a slovenské uživatele hledající Microsoft Teams pro Mac. Konkrétní kampaň popsaná Netskope české lokalizace nemá, ale infrastruktura sbírá locale data obětí a umí se přizpůsobit. Důvod k obezřetnosti existuje i tady.

Nejúčinnější obrana je přitom triviální: nikdy nevkládejte do Terminálu příkaz, který jste dostali z webu, chatu, e-mailu nebo od „technické podpory“. Žádná legitimní služba to po vás nechce.