Kalau kamu pakai Mac dan punya aset kripto, kamu harus lebih meningkatkan kewaspadaan. Ada serangan siber yang makin marak dan makin canggih — namanya ClickFix — yang menyasar pengguna macOS dengan menyamar sebagai verifikasi CAPTCHA biasa. Begitu kamu berinteraksi dengannya, malware bernama Atomic macOS Stealer (AMOS) langsung bekerja diam-diam dan bisa menguras seluruh isi dompet kripto kamu. Ini semua yang perlu kamu tahu.

Apa itu ClickFix?

ClickFix adalah teknik rekayasa sosial yang memanipulasi pengguna agar secara manual menjalankan perintah di sistem mereka sendiri. Teknik ini awalnya ditemukan menyerang pengguna Windows, tapi para peneliti keamanan sudah mengkonfirmasi bahwa ia kini telah diadaptasi untuk macOS — dan cukup efektif.

Serangan biasanya dimulai ketika pengguna mengunjungi situs yang sudah dikompromikan atau dikendalikan penyerang. Halaman tersebut menampilkan pesan error atau prompt verifikasi yang terlihat sangat meyakinkan — sering kali dibuat mirip dengan peringatan browser resmi atau pemeriksaan keamanan standar. Pengguna kemudian diminta mengikuti beberapa langkah untuk “memperbaiki” masalah atau “membuktikan” bahwa mereka bukan robot. Padahal, langkah-langkah itu melibatkan pembukaan Terminal atau menjalankan skrip tersembunyi yang mengunduh dan mengeksekusi malware.

Yang membuat ClickFix sangat berbahaya adalah buat attacker effort-nya dikit tapi tingkat penipuan tinggi dan bisa dapat maximum damage terhadap korban. Tidak ada exploit kit yang digunakan. Korban sendiri yang melakukan semuanya, sehingga lebih sulit bagi alat keamanan tradisional untuk mendeteksinya sebagai aktivitas mencurigakan.

Simply social engineering.

Peran Fake CAPTCHA

CAPTCHA sudah dikenal hampir semua pengguna internet. Kebanyakan orang menghadapinya setiap hari dan sudah terbiasa menyelesaikannya tanpa banyak berpikir. Inilah yang dimanfaatkan oleh penyerang di balik kampanye macOS ClickFix.

Peneliti dari Kaspersky menjelaskan bahwa dalam serangan ini, korban diarahkan ke situs berbahaya atau situs yang sudah compromised — biasanya lewat email phishing, halaman unduhan software palsu, atau iklan berbahaya (malvertising). Situs tersebut menampilkan halaman verifikasi berisi CAPTCHA challenge yang terlihat meyakinkan (emang harus begitu dong), seolah?olah ada langkah tambahan “proof-of-humanity” mandatory yang harus dilalui sebelum konten bisa diakses.

Tapi alih-alih mencentang kotak atau memilih gambar, pengguna diminta untuk:

1. Menekan kombinasi keyboard tertentu (seperti Command + Spasi untuk membuka Spotlight, atau Command + R untuk membuka Terminal)
2. Menempelkan perintah yang diam-diam sudah disalin ke clipboard oleh halaman berbahaya tersebut
3. Menekan Enter untuk “menyelesaikan” verifikasi

Tentu saja, perintah itu bukan langkah verifikasi. Itu adalah curl command atau shell script yang menghubungi server jarak jauh dan mengunduh payload Atomic macOS Stealer langsung ke perangkat korban.

Fake CAPTCHA ini cukup meyakinkan sehingga bahkan pengguna yang sadar keamanan pun bisa tertipu. Halaman-halamannya sering kali dirancang dengan baik, menggunakan HTTPS, dan terkadang bahkan meniru merek atau layanan yang sudah dikenal.

Atomic macOS Stealer

Atomic macOS Stealer, atau yang dikenal sebagai AMOS, adalah infostealer komersial yang pertama kali muncul pada awal 2023 dan terus dikembangkan serta dijual di forum-forum bawah tanah. Ia dirancang khusus untuk macOS dan kemampuannya cukup mengkhawatirkan.

Begitu AMOS masuk ke perangkat korban, ia langsung bekerja. Fungsi utamanya meliputi:

• Mengekstrak password tersimpan dari browser seperti Chrome, Firefox, dan Safari, termasuk data autofill
• Mencuri cookie browser dan token sesi, yang bisa digunakan untuk membajak sesi web yang sedang aktif
• Memanen data dompet kripto, termasuk seed phrase, private key, dan file wallet dari ekstensi seperti MetaMask, Coinbase Wallet, dan lainnya
• Mengekstrak dokumen dan file yang cocok dengan kriteria tertentu
• Mencuri data Keychain, sistem manajemen password bawaan macOS

Semua data ini dikemas dan dikirim ke infrastruktur yang dikendalikan penyerang — sering kali melalui bot Telegram — sehingga proses eksfiltrasi berlangsung cepat dan sulit dicegat.

Bagaimana Dompet Kripto Kamu Dibobol?

Kemampuan AMOS dalam menarget kripto sangat terarah. Malware ini secara khusus memindai ekstensi browser terkait dompet dan aplikasi dompet mandiri. Jika ditemukan ekstensi MetaMask, misalnya, AMOS akan mencoba mengekstrak file vault yang terenkripsi. Dikombinasikan dengan password yang tertangkap atau entri keychain, penyerang bisa mendekripsi vault tersebut dan mendapatkan akses penuh ke dompet.

Bagi pengguna yang menyimpan aset di platform DeFi, marketplace NFT, atau bursa kripto terpusat yang berbasis browser, cookie yang dicuri berarti penyerang bisa langsung login tanpa perlu password. Saat korban menyadari ada yang tidak beres, aset sudah berpindah tangan.

Seed phrase yang disimpan dalam file teks biasa, aplikasi catatan, atau password tersimpan di browser juga menjadi target utama — dan AMOS memang dirancang khusus untuk menemukannya.

Siapa Yang Berisiko?

awaban singkatnya: siapa pun yang menggunakan macOS dan memegang aset kripto atau menggunakan alat keuangan berbasis browser. Lebih spesifiknya, serangan ini menarget:

• Trader dan investor kripto dengan software wallet
• Pengguna DeFi dan kolektor NFT
• Developer yang menyimpan private key atau kredensial API secara lokal
• Siapa pun yang mengunduh software dari sumber tidak resmi atau mengklik iklan untuk alat software tertentu

Pengguna macOS yang menganggap platform mereka secara inheren aman justru berisiko lebih tinggi — karena rasa aman yang palsu itulah yang dimanfaatkan penyerang.

Cara Melindungi Diri

Melindungi diri dari serangan bergaya ClickFix membutuhkan kombinasi kewaspadaan dan kebiasaan keamanan yang baik:

• Jangan pernah menjalankan perintah dari CAPTCHA atau prompt verifikasi. Sistem verifikasi yang sah tidak pernah meminta kamu membuka Terminal atau menjalankan skrip.
• Gunakan hardware wallet untuk menyimpan aset kripto yang signifikan. Hardware wallet menyimpan private key secara offline, jauh dari jangkauan infostealer.
• Hindari menyimpan seed phrase secara digital — terutama di aplikasi catatan, password tersimpan di browser, atau file teks biasa.
• Selalu perbarui macOS dan browser kamu. Patch keamanan menutup celah tambahan yang mungkin dimanfaatkan penyerang.
• Gunakan pemblokir iklan untuk mengurangi paparan terhadap malvertising.
• Pertimbangkan software keamanan endpoint yang dirancang untuk macOS dan mampu mendeteksi perilaku infostealer.

Nobody Save in Internet

erangan macOS ClickFix adalah pengingat keras bahwa tidak ada platform yang benar-benar kebal dari ancaman siber. Dengan menggabungkan teknik rekayasa sosial yang cerdas — berupa fake CAPTCHA — dengan malware infostealer yang canggih seperti AMOS, para penyerang berhasil menembus pertahanan pengguna Mac yang selama ini merasa aman.