5 min

Nový malware na Macu vás požádá o heslo, a pak vysaje klíčenku, peněženku i zprávy. Antivirus ho nevidí

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Kampaň ClickFix cílí na uživatele Macu bez jediného exploitu. Stačí jí, abyste sami vložili příkaz do Terminálu a zadali své přihlašovací heslo.

Virus v macOS

Zdroj: Uživatel Paowee / Creative Commons / CC BY-SA

Obsah článku

Výzkumníci z Netskope Threat Labs popsali v dubnu a červnu 2026 dvě vlny útoku, který nepoužívá žádnou systémovou zranitelnost, žádný kernel exploit, žádný zero-day. Místo toho spoléhá na to, že uživatel uvěří falešné webové stránce, zkopíruje si z ní příkaz a vloží ho do Terminálu. Od té chvíle se v paměti rozběhne řetězec, který sklidí klíčenku, session cookies, data z komunikačních aplikací, kryptoměnové peněženky, a v novější variantě si ještě zajistí trvalý přístup do systému. Celé to trvá vteřiny a na disk přitom nespadne jediný klasický spustitelný soubor.

Jak se do Macu dostane: žádný virus, jen váš Terminál

Vstupní brána vypadá nevinně. Oběť narazí na kompromitovaný web nebo stránku řízenou útočníkem, může jít o falešný macOS utility web, napodobeninu GitHubu nebo lokalizovanou stránku technické podpory. Web podle user-agentu pozná, že jde o Mac, a podstrčí do schránky příkaz pro Terminál. Stačí ho vložit a potvrdit.

Po spuštění se přes curl stáhne druhá fáze přímo do osascript, interpretu AppleScriptu, který je součástí každého Macu. Žádná instalace, žádné stahování .dmg souboru, žádné varování od Gatekeeperu. Apple sice přes Gatekeeper a notarizaci hlídá stahované aplikace, ale tady se žádná aplikace nestahuje. Uživatel spouští příkaz v legitimním systémovém nástroji, a to je přesně ta mezera, kterou kampaň zneužívá.

Ještě než loader stáhne hlavní payload, posbírá o oběti telemetrii: externí IP adresu, hostname, verzi macOS, locale. A jeden detail, který leccos napoví o původu kampaně: pokud najde ruské rozložení klávesnice, sám se vypne.

Falešný dialog, který vás nepustí

Klíčový moment přijde vzápětí. Na obrazovce se objeví dialog, který vypadá jako systémové Předvolby. Titulek říká „System Preferences“, v rohu svítí ikona zámku vytažená přímo ze systémového CoreTypes.bundle, textové pole pro heslo je maskované. Zpráva zní: „Měli byste aktualizovat nastavení, aby se aplikace spustila.“ Jediné tlačítko je „Continue“.

Jenže nejde o systémový dialog. Je to AppleScript display dialog, který nemá zavírací tlačítko a drží uživatele ve smyčce. Zadané heslo okamžitě ověřuje příkazem dscl . authonly; pokud je špatné, dialog se vrátí. Uživatel nemá jak okno zavřít, aniž by zadal správné přihlašovací heslo k macOS. A právě toto heslo je klíč ke všemu dalšímu.

Nejde totiž o heslo k nějaké webové službě. Je to heslo, kterým se odemyká klíčenka, úložiště, kde macOS drží uložená hesla k webům, Wi-Fi sítím, VPN, šifrovací klíče, digitální identity i bezpečnostní poznámky.

Co všechno malware sebere

S platným heslem v ruce malware kopíruje celý adresář ~/Library/Keychains/ včetně databáze login.keychain-db. Vytahuje Safe Storage klíče pro Chrome, Brave a Edge. Dubnová varianta cílila na více než 200 rozšíření prohlížeče, nejen kryptopeněženky, ale i správce hesel, 2FA rozšíření a firemní VPN/SSO doplňky.

A pak jsou tu zprávy. Přesněji řečeno:

Telegram — session data z adresáře tdata/ a soubor key_datas
Discord — tokeny z Local Storage/leveldb/
Steam — přihlašovací soubory a data „Remember Me“
Apple Notes — databáze NoteStore.sqlite včetně příloh

Kompletní export iMessage nebo chatů z WhatsApp a Signalu analýza nedokládá. Ale krádež live session cookies a tokenů je v jistém smyslu horší než krádež hesla, protože umožňuje obejít dvoufaktorové ověření bez znalosti hesla ke konkrétní službě.

Novější varianta z konce května 2026 přidala další rozměr. Cílí na více než 100 kryptoměnových rozšíření v Chromiu a 25 desktopových peněženek: MetaMask, Exodus, Electrum, Atomic, Guarda, Coinomi, Sparrow, Wasabi, Bitcoin Core a další. Po exfiltraci dat navíc přepíše jádro aplikace (app.asar) u pěti z nich: Exodus, Atomic Wallet, Ledger Wallet, Ledger Live a Trezor Suite. Podvrženou verzi pak podepíše ad-hoc příkazem codesign, takže Gatekeeper varování neukáže; nejde totiž o nově staženou aplikaci, ale o lokální úpravu už nainstalovaného softwaru.

A právě tohle je podle nás nejdůležitější posun oproti starším macOS stealerům. Nejde jen o jednorázové vysátí dat. Jde o podvržení nástrojů, kterým uživatel důvěřuje, a o trvalý vzdálený přístup.

Proč ho antivirus „nevidí“ a co to přesně znamená

Tvrzení, že ho antivirus nevidí, si zaslouží upřesnění. Řetězec je z velké části bezesouborový: první fáze se dekóduje a vyhodnotí v paměti, druhá fáze se stáhne přímo do osascript. Od vložení příkazu do schránky po krádež dat nevznikne na disku klasický statický artefakt, který by signaturový skener zachytil. Netskope výslovně uvádí, že vzorek označený „Meow (DEBUG)“ v době objevu na VirusTotal nebyl.

To ale neznamená, že je malware absolutně neviditelný. Specializované behaviorální detekce existují a bezpečnostní firmy signatury postupně doplňují. Přesnější formulace zní: uniká běžné statické a signaturové detekci, jakou nabízí většina předinstalovaných nebo základních antivirových řešení. Kdo spoléhá jen na to, že mu antivirus „něco ukáže“, má problém.

Co dělat: kontrola i obrana

Apple v červnu 2026 vydal novou ochranu, která v Terminálu varuje při vkládání podezřelých příkazů ze schránky. Aktualizace macOS je proto první krok.

Pokud chcete zkontrolovat, zda váš Mac nebyl zasažen, hledejte tyto stopy:

Soubor com.apple.accountsd.plist v ~/Library/LaunchAgents/ nebo /Library/LaunchDaemons/
Adresář /Library/Application Support/.com.apple.accountsd/
Dočasné cesty /tmp/shub_ a archiv /tmp/shub_log.zip

Pokud jste příkaz do Terminálu už vložili a spustili, předpokládejte kompromitaci. Změňte přihlašovací heslo k macOS i hlavní hesla k účtům. Odhlaste aktivní relace všude, kde to jde; ukradené session cookies fungují i bez vašeho hesla. Desktopové kryptopeněženky na dotčeném Macu považujte za nedůvěryhodné a přeinstalujte je z ověřeného zdroje.

Pro český kontext: ESET v dubnu 2026 potvrdil, že technika ClickFix v prvním čtvrtletí roku cílila na české a slovenské uživatele hledající Microsoft Teams pro Mac. Konkrétní kampaň popsaná Netskope české lokalizace nemá, ale infrastruktura sbírá locale data obětí a umí se přizpůsobit. Důvod k obezřetnosti existuje i tady.

Nejúčinnější obrana je přitom triviální: nikdy nevkládejte do Terminálu příkaz, který jste dostali z webu, chatu, e-mailu nebo od „technické podpory“. Žádná legitimní služba to po vás nechce.

Zdroj: Mobify.cz - Váš párťák ve světě elektroniky

Autor: Jiří Pacovský

Reklama

Další články z Mobify.cz

Zamykací obrazovka Pixelů konečně dostane to, co Samsung umí roky. Google ukryl důkaz v kódu Androidu 17

Qualcomm ořezal vlajkový čip a tvrdí, že to nikdo nepozná. Ztráta je jen v grafice, a ne zrovna malá

Qualcomm tiše zveřejnil specifikace ořezané varianty svého nejnovějšího mobilního čipu. Grafická část...

12 položek v nastavení Androidu máte zapnutých zbytečně. Vypněte je a telefon začne fungovat, jak má

Dvanáct často aktivních voleb v Androidu zbytečně skenuje okolí, synchronizuje data a profiluje reklamy....

Jeden router nestačí a nikdy nestačil. Přichází revoluční Wi-Fi 7 mesh systémy, které pokryjí i sklep a zahradu bez výpadku

Firemní domácí test Intelu ukázal, že v nejvzdálenějších místnostech domu spadl výkon routeru pod 200 Mb/s....

Za 1 649 Kč změní zvuk televize k nepoznání. Lidl prodává malé domácí kino, které se vejde pod každou obrazovku

Lidl v rámci online akce Megaúlovek nabízí kompaktní soundbar Sharp HT-SB100 za 1 649 Kč....

Tento článek byl publikován ze zdrojů Mobify.cz

Web se zaměřuje na mobilní telefony, chytré technologie a moderní aplikace. Čtenáři zde najdou recenze nových modelů, srovnání zařízení, tipy na užitečné aplikace i praktické rady, jak z telefonu dostat maximum. Obsah sleduje také trendy v oblasti elektroniky, softwaru a digitálních služeb – od...

Nový malware na Macu vás požádá o heslo, a pak vysaje klíčenku, peněženku i zprávy. Antivirus ho nevidí

Vojtěchovy škrty u nejhorší nemoci. Pacienti si na důležité operace počkají déle

Meteoroložka Honsová varuje Česko: Hrozí extrémní vedra až 50 stupňů

25 kilo dole a úplně jiný Genzer. Bavič přiznal, co mu tentokrát opravdu pomohlo

Dítě může dospět jediným úderem razítka. Tři skutečné případy ukazují, jak nebezpečné je manipulovat s věkem. Česko není výjimkou

Samojed: pes, který se usmívá, i když vám právě donesl půl zahrady do obýváku