ClickFix und ClickLock: Infostealern greifen Browser-Tokens und macOS an

ClickFix und ClickLock: Neue Infostealern-Welle kompromittiert Browser und macOS

Drei neue Malware-Varianten nutzen gefälschte Support-Lures, um Unternehmen und Einzelnutzer ins Visier zu nehmen. Laut The Hacker News nutzt das ACR Stealer genannte Programm ClickFix-Lures, um Browser-Passwörter, Live-Session-Tokens, PDFs und Microsoft-365-Dokumente aus Unternehmensnetzwerken abzuziehen. Parallel verbreitet sich die modular aufgebaute TELEPUZ-Malware seit April 2026 über ClickFix-infizierte Websites und bietet neben Datendiebstahl auch Befehlsausführung (laut The Hacker News). Ein dritter Akteur, ClickLock, konzentriert sich gezielt auf macOS-Nutzer: Die Malware terminiert sämtliche sichtbaren Prozesse im 210-Millisekunden-Takt, bis das Opfer sein Systempasswort eingibt — eine aggressive Erpressungsmethode, die mindestens 100 Nutzer betroffen hat und auch Kryptowallet-Diebstahl umfasst (wie SecurityWeek berichtet).

Warum das für DACH-Unternehmen kritisch ist

Diese Angriffswelle trifft einen wunden Punkt im deutschen und österreichischen Mittelstand: Browsern-Authentifizierungen (Tokens) sind in hybriden Arbeitsumgebungen Standard, und Microsoft 365 ist in DACH-Unternehmen dominant. Ein Datenabfluss von Tokens umgeht Multi-Faktor-Authentifizierung und ermöglicht Lateral-Movement ohne erneute Anmeldung. DSGVO-relevant: Mit PII-Leaks (Passwörter, E-Mails, Dokumente) tritt die 72-Stunden-Meldepflicht in Kraft. macOS-Nutzer werden oft als low-risk eingestuft, weshalb ClickLock gezielt diese Nachlässigkeit ausnutzt. Unternehmen mit bring-your-own-device-Policies brauchen Endpoint-Detection und Awareness-Schulungen zu Social-Engineering-Lures.

Was jetzt zu tun ist

Das unmittelbare Take-Away: Browsern-Tokens müssen technisch isoliert werden (hardware-basierte Token, managed credentials statt localStorage-Speicherung). Für macOS-Spotter: Jede Aufforderung zur Terminal-Eingabe ist ein Red Flag — selbst wenn Support-Seiten authentisch aussehen. Die OSINT-Infrastruktur der Angreifer aufdecken, um gefälschte Support-Domains zu identifizieren, gehört zu einem modernen KI-Pentesting-Prozess. Parallele Empfehlung: Die 50-Punkte-Red-Team-Checkliste für LLM-Apps enthält Input-Validierungs-Pattern, die auch gegen KI-gesteuerte Social-Engineering-Lures schützen.

Quellen

• ACR Stealer Uses ClickFix Lures to Steal Browser Tokens and Microsoft 365 Files
• ClickLock Stealer Bypasses macOS Security With Social Engineering, Process Killing
• New TELEPUZ Malware Spreads via ClickFix to Steal Data and Run Commands
• New ClickLock macOS Stealer Kills Apps Every 210ms Until Victims Type Their Password
• New ClickLock macOS malware traps users into revealing login password