Zo werkt ClickFix: de aanval waarbij jij het werk doet

Wat doet de Terminal eigenlijk?

Op een Mac kun je programma's installeren met een regel tekst. Die typ of plak je in de Terminal, het opdrachtvenster van je computer. Daar voert je Mac elke opdracht uit die je erin zet.

De Terminal vraagt niet of je het zeker weet. Hij gaat ervan uit dat jij weet wat je plakt. Daardoor is het een handige plek voor aanvallers.

ClickFix maakt daar misbruik van. De aanvaller hoeft niets op je computer te hacken, want jij voert de opdracht zelf uit. Een beveiligingsprogramma ziet dan een gewone handeling van een gebruiker.

Hoe zie je iets wat er niet staat?

Op de nepsite staat een nette installatieopdracht. Die is gekopieerd van de echte site van Anthropic: curl -fsSL https://claude.ai/install.sh | bash. Je ziet dus een adres dat je vertrouwt.

Maar de kopieerknop doet iets anders dan de tekst belooft. Volgens Push Security, een beveiligingsbedrijf, zet de knop een andere opdracht op je klembord. Daar staat een verborgen adres in, dat de Mac stilletjes een bestand laat ophalen.

In de Terminal zie je daarna weer de officiële Claude-link. Daardoor lijkt alles in orde, terwijl er een heel ander script draait. Welke schadelijke software dat uiteindelijk installeert, is nog onbekend.

Hoe bescherm ik mezelf ertegen?

Ga direct naar de officiële site van het programma dat je zoekt. Typ het adres zelf in of gebruik een bladwijzer. Een advertentie kan echt lijken, ook als er een bekende domeinnaam als Bing in het spoor staat.

Plak nooit een opdracht in de Terminal die je niet snapt. Controleer wat je plakt, voordat je op Enter drukt. Staat er iets anders dan op de pagina, of zie je een lange rij vreemde tekens, stop dan.

Vraagt een site je om iets te kopiëren en in de Terminal te plakken? Wees dan extra alert. Heb je het al gedaan, laat dan je computer controleren en verander je wachtwoorden vanaf een ander apparaat.