Mac用户注意：这款恶意软件会每0.2秒杀一次你的应用，直到你交出密码

Mac 用户之间流传着一个老说法：Mac 不会中毒。严格来说这个说法从来就不对，但每隔一段时间，就会有一种新恶意软件用特别粗暴的方式提醒你——不仅会中毒，手段还越来越狠。安全公司 Group-IB 本周发现的新型恶意软件 ClickLock Stealer，就是最新的案例。

ClickLock Stealer 的攻击路径分三步。第一步：受害者在浏览网页时遇到一个假的 Cloudflare 人机验证页面——就是那种常见的"点击确认你是人类"的 CAPTCHA。页面会要求你打开 Mac 上的终端，复制粘贴一段命令来"完成验证"。第二步：命令一旦执行，恶意组件就开始在后台安装，屏幕上显示一个假的 Cloudflare 进度条，一切看起来正常。第三步：如果你中途发现不对、试图取消安装，反制机制就启动了——每 210 毫秒杀掉所有正在运行的可见应用。浏览器、文档、Finder、设置面板，全部强制关闭，屏幕上只剩下一个无法消除的密码输入对话框。

这个对话框的目的只有一个：逼你输入 Mac 的登录密码。一旦输入，恶意软件就完成了最终安装，开始在后台静默收集数据。根据 Group-IB 的报告，ClickLock Stealer 的目标清单包括：浏览器中保存的登录凭据、加密钱包插件（比如 MetaMask）、桌面钱包文件、以及各类密码管理器中的数据。

从攻击者的角度来说，这是一个设计得很狡猾的恶意软件。传统的 Mac 恶意软件往往依赖用户一路点"允许"来完成安装，容易被有经验的用户识破。ClickLock Stealer 绕过了这个环节——它不需要你点任何"允许"按钮，而是利用社会工程学让你主动执行终端命令。一旦你主动执行了，macOS 内置的 Gatekeeper 和 XProtect 就起不了作用了——在系统看来，这是用户自己在操作。

Group-IB 的追踪数据显示，重点受灾地区包括意大利、美国、约旦和英国。研究员的原话是："地理分布与一场以经济动机驱动的攻击活动一致，目标集中在加密货币普及率和 macOS 市场份额都较高的高收入地区。"翻译成大白话：攻击者不是随机撒网，他们在精准挑选既有 Mac、又有加密资产、还可能安全意识一般的用户。

普通 Mac 用户该怎么防？几条实操建议：第一，永远别把网页上看到的命令往终端里粘贴——除非你 100% 确定来源和用途。任何要求"打开终端复制命令完成验证"的网页，都是钓鱼。第二，软件从 Mac App Store 或开发者官网下载，绕开来路不明的第三方下载站。第三，收到来源不明的邮件、短信里的链接，Control+点击选"拷贝链接地址"，粘贴到文本编辑器看清楚真地址再决定。第四，远离破解软件。Group-IB 和其他多份研究都反复确认：破解软件是 macOS 恶意软件最主要的传播渠道，没有之一。

如果你已经中招或怀疑中招了，立刻修改 Mac 登录密码和所有重要账户密码。加密钱包用户尽快将资产转移到新的安全地址，然后考虑用专业 Mac 安全软件做一次全盘扫描。