MALUKU — Serangan siber terbaru mengincar perangkat macOS dengan pendekatan yang tidak biasa. Alih-alih mengeksploitasi celah keamanan sistem, para peretas justru memanfaatkan kelengahan pengguna melalui teknik rekayasa sosial atau social engineering. Laporan dari Netskope Threat Labs mengungkapkan adanya kampanye malware bernama ClickFix yang dirancang khusus untuk mencuri data dan membuka akses jarak jauh ke perangkat korban.
Modus Operandi: Situs Palsu dan Perintah Terminal
Kampanye ClickFix bekerja dengan mengarahkan korban ke situs web yang sudah disusupi atau dibuat khusus oleh peretas. Situs-situs ini menyamar sebagai halaman layanan yang sah, seperti utilitas optimasi macOS palsu, repositori GitHub tiruan, hingga halaman dukungan IT lokal. Di situs tersebut, pengguna diminta untuk menyalin dan menjalankan perintah tertentu di aplikasi Terminal macOS.
Saat korban mengklik tombol salin di halaman palsu, skrip JavaScript berbahaya secara diam-diam menempatkan kode eksekusi ke papan klip (clipboard). Ketika perintah itu dijalankan di Terminal, skrip akan langsung berjalan di memori tanpa menyentuh hard drive. Pendekatan tanpa file atau fileless ini membuat malware lolos dari pemindaian antivirus standar.
Pencurian Password dan Data Dompet Kripto
Setelah payload kedua aktif, muncul jendela palsu System Preferences yang meminta password login macOS korban dengan alasan pembaruan pengaturan. Jika pengguna memasukkan password, malware langsung menggunakannya untuk membuka keychain macOS dan mulai mencuri password tersimpan, cookie sesi, serta data dari aplikasi perpesanan.
Yang lebih mengkhawatirkan, malware ini juga menargetkan 25 aplikasi dompet kripto desktop. Prosesnya cukup brutal: malware mematikan aplikasi dompet yang sedang berjalan, menimpa bundel aplikasi asli dengan versi berbahaya, lalu memaksakan tanda tangan kode ad hoc. Tanda tangan ini mengembalikan struktur yang valid secara teknis sehingga aplikasi yang sudah dimodifikasi bisa tetap berjalan tanpa memicu peringatan Gatekeeper dari macOS.
Akses Jarak Jauh yang Persisten
Untuk menjaga akses jangka panjang ke perangkat korban, malware memasang file konfigurasi latar yang menyamar sebagai proses sistem Apple bernama com.apple.accountsd. Proses ini akan menghubungi server komando dan kontrol (command-and-control) setiap menit. Pola ini memungkinkan peretas untuk terus memantau perangkat dan menjalankan kode jarak jauh kapan saja.
Pelajaran untuk Pengguna dan IT Enterprise
Kampanye ClickFix menjadi contoh nyata bahwa ancaman tidak selalu datang dari celah keamanan teknis. Para peretas hanya memanfaatkan alat bawaan macOS — Terminal — untuk mengelabui pengguna. Tidak ada zero-day vulnerability atau eksploitasi kernel kompleks yang digunakan.
Bagi departemen IT di perusahaan, temuan ini menekankan pentingnya pelatihan keamanan berkelanjutan. Pengguna harus benar-benar paham untuk tidak pernah menempelkan perintah asal ke Terminal, tidak peduli seberapa meyakinkan tampilan situsnya. Beberapa kalangan bahkan mulai mempertimbangkan pemblokiran akses ke Terminal di komputer kerja untuk peran tertentu.
