Serangan ClickFix Targetkan Pengguna macOS untuk Curi Kripto dan Data Kredensial
Sebuah varian malware pencuri data (infostealer) berbasis bahasa pemrograman Go kini dilaporkan tengah aktif mengincar pengguna sistem operasi macOS melalui kampanye rekayasa sosial ClickFix. Malware ini dirancang khusus untuk memikat korban agar menjalankan skrip berbahaya, yang pada akhirnya menguras aset kripto, mencuri kata sandi peramban, data Apple Keychain, hingga kredensial tersembunyi.
Analis keamanan siber dari perusahaan layanan Managed Detection and Response (MDR) Huntress menemukan payload berbahaya tersebut saat menangani insiden ClickFix. Modus operandi dimulai ketika calon korban menerima pesan yang mengarahkan mereka ke situs web tertentu. Halaman web palsu tersebut kemudian menampilkan instruksi yang meminta korban menyalin dan menjalankan perintah khusus di aplikasi Terminal macOS.
Setelah perintah di Terminal dieksekusi, sistem akan mengunduh skrip Bash yang berfungsi sebagai profiler sekaligus pengunduh malware. Skrip ini mengumpulkan informasi spesifikasi perangkat (seperti CPU dan RAM) lalu mengunduh berkas payload Mach-O yang sesuai dengan arsitektur prosesor korban.
Guna mengelabui sistem pertahanan bawaan macOS, loader tersebut membuat direktori tersembunyi dengan nama trustd—meniru nama proses asli macOS yang bertanggung jawab memvalidasi sertifikat kriptografi. Payload infostealer kemudian disalin ke direktori tersebut dengan nama com.apple.verified. Tak berhenti di situ, pelaku menghapus atribut ekstensif com.apple.quarantine guna menghindari blokir pertahanan fitur Gatekeeper, sehingga file dapat berjalan tanpa memicu peringatan keamanan.
Untuk memperoleh akses hak tinggi (privilege escalation) serta menjaga keberadaannya di dalam sistem (persistence), malware memunculkan kotak dialog kesalahan palsu melalui utilitas osascript. Dialog buatan ini meminta pengguna memasukkan kata sandi administrator sistem secara manual.
Setekah menguasai kredensial administrator, payload berbasis Go ini memindai direktori penyimpanan untuk menguras basis data kata sandi peramban, informasi terenkripsi pada Apple Keychain, hingga cookie sesi penjelajahan.
Hal yang membedakan malware ini dari crypto drainer pada umumnya adalah kemampuannya memanipulasi transaksi aset kripto sebelum ditandatangani oleh pengguna. Selain dapat menguras seluruh isi dompet digital, malware ini memiliki fungsi khusus yang mampu menghitung persentase nilai transaksi—misalnya mengambil 1% dari total aset—sehingga pengalihan dana ke dompet peretas tidak mudah disadari oleh korban.
Beberapa jenis aset kripto yang menjadi target utama pengalihan ini meliputi Bitcoin, Litecoin, Dogecoin, Monero, Ethereum, hingga XRP. Hasil investigasi lalu lintas jaringan menunjukkan bahwa malware tersebut berkomunikasi dengan alamat IP yang terhubung dengan penyedia infrastruktur Aeza Group.
Sumber: Huntress
