Кампания Macfinger ClickFix нацелена на владельцев компьютеров Apple. Заражения выявлены 22 сентября 2026 года, а днём раньше подтвердились те же признаки активности. Злоумышленники взламывают обычные, ничем не примечательные сайты и добавляют на их страницы скрытый код. Посетитель ничего не подозревает: страница открывается как обычно, а вредоносный сценарий работает в фоне.
Описание
Дальше срабатывает стандартный сценарий. Скрипт оценивает характеристики устройства и определяет операционную систему. Если это macOS, посетитель видит страницу проверки, которая имитирует защиту от автоматических программ. Затем появляется всплывающее окно с инструкцией: скопировать предложенный текст и вставить его в терминал. Инструкция выглядит безобидно: текст обещает решить техническую проблему или подтвердить, что человек не робот. Приём получил название ClickFix. Ключевая особенность в том, что код запускает сам человек, поэтому искать уязвимость в системе злоумышленникам не требуется.
По данным аналитиков, итоговая программа относится к семейству похитителей данных для macOS. Разбор активности опубликован в начале сентября, отдельного имени у кампании тогда не появилось. Наблюдения показывают, что речь идёт о варианте, который отличается от ранее описанных образцов того же семейства. Совпадает назначение, а не код. Обе программы крадут информацию с заражённого компьютера.
Основная аудитория кампании - сотрудники компаний, которые работают на технике Apple. Чаще всего это руководители, дизайнеры, разработчики и специалисты поддержки. Такие устройства хранят доступы к корпоративной почте, внутренним системам и облачным хранилищам. Под угрозой оказываются банковские приложения и криптовалютные кошельки. Атака не разбирает, кто перед ней: и домашний пользователь, и сотрудник крупной компании рискуют одинаково. Кампания охватывает и личные, и корпоративные устройства, поскольку распространяется через самые обычные сайты.
После того как человек выполняет инструкцию, терминал загружает небольшой скрипт, а тот - основную программу. Для скачивания подготовлены две сборки: одна для процессоров Apple, другая для процессоров Intel. Размер файлов - примерно 33 и 34 мегабайта. Обе сборки выполняют одну задачу и отличаются только под процессор. Спустя несколько секунд после запуска начинается передача данных на командный сервер. Среди них сведения об устройстве и учётные данные, которые программа собирает в фоновом режиме. Отдельный запрос уходит к стороннему сервису, определяющему местоположение по сетевому адресу.
Пока поддельная страница открыта, её владельцы получают частые запросы с информацией о посетителе. Фиксируется даже отказ выполнить инструкцию: если человек закрыл окно, это тоже уходит на сервер. Обратная связь помогает операторам понимать, какие приёмы работают. Счётчик обращений заодно показывает, сколько людей дошло до запуска программы. Данные передаются по защищённому каналу, поэтому внешне трафик не выглядит подозрительно.
Схема ClickFix набирает популярность по понятной причине. Средства защиты реже реагируют на действия, которые инициирует сам пользователь, а репутация легитимного сайта не вызывает вопросов ни у браузера, ни у систем фильтрации. Дополнительная сложность в том, что Macfinger ClickFix, судя по доступным сведениям, кампания новая и работает только с компьютерами Apple. Публичных данных о ней немного, хотя признаки указывают на широкий охват. Вредоносный код размещён на множестве сайтов, а не на единичных ресурсах.
Последствия заражения выходят за пределы одного устройства. Украденные учётные данные открывают доступ к рабочим сервисам, переписке и документам. Для компании это оборачивается утечкой коммерческой информации и простоем в работе. Для человека - потерей средств на счетах и в криптовалютных кошельках. Восстановить доступ к части сервисов без помощи службы поддержки не получится. Часть учётных данных придётся менять вместе с паролями и ключами доступа.
Защита строится на простых правилах. Не копируйте команды с веб-страниц и не вставляйте их в терминал, чем бы ни оправдывалась такая просьба. Обновление системы закрывает известные уязвимости, но здесь оно не решает главную проблему. Полезнее ограничить права обычной учётной записи, пользоваться менеджером паролей и двухфакторной аутентификацией. Тогда украденные данные окажутся бесполезны для дальнейших атак. Следите за неожиданными запросами системы и окнами, которые требуют ручного ввода команд от имени администратора. Резервные копии важных файлов помогут быстрее вернуться к работе, если заражение всё же произошло. Организациям имеет смысл проверять веб-трафик сотрудников на предмет обращений к незнакомым доменам, которые появляются при просмотре обычных сайтов.
Компьютеры Apple долго считались менее уязвимой платформой, и владельцы нередко пренебрегали базовыми мерами предосторожности. Производители средств защиты уже публикуют рекомендации по противодействию подобным схемам. Кампании вроде Macfinger ClickFix показывают, что прежняя уверенность в безопасности уже не соответствует действительности.
Индикаторы компрометации
