AmnesiaStealer è una nuova minaccia per macOS che consente ai criminali informatici di prendere il controllo remoto delle sessioni browser Chromium, rubando password, portafogli di criptovalute e dati personali tramite campagne ClickFix e tecniche avanzate di streaming.
Un nuovo malware denominato AmnesiaStealer sta colpendo gli utenti macOS, sfruttando attacchi ClickFix per sottrarre informazioni sensibili attraverso il controllo remoto delle sessioni browser. Il malware si distingue per la capacità di copiare il profilo Chromium della vittima, inclusi gli stati di autenticazione, e di caricarlo in un browser nascosto e senza interfaccia grafica sul sistema infetto. In questo modo, l'attaccante può accedere alle sessioni già autenticato, mantenendo intatti gli identificatori del browser, del dispositivo e della rete.
AmnesiaStealer è in grado di raccogliere dati da 16 browser basati su Chromium, oltre a password, portafogli di criptovalute, note Apple, documenti e dati del portachiavi. La distribuzione avviene tramite campagne ClickFix che sfruttano una finta pagina di download GitHub per diffondere un archivio ZIP protetto da password.
Come funziona l'attacco e quali dati vengono rubati
Secondo l'analisi dei ricercatori di Jamf, azienda specializzata nella sicurezza dei dispositivi Apple, AmnesiaStealer utilizza lo stesso schema già visto con i malware Atomic e MacSync. Il comando ClickFix esegue uno script shell che scarica e avvia l'archivio contenente il payload Mach-O di AmnesiaStealer. Il malware intercetta la password dell'utente macOS e la sfrutta per accedere ai dati del portachiavi, ai profili browser, alle note Apple, alle sessioni Telegram, ai documenti e alle informazioni di sistema, oltre ai wallet di criptovalute.
Una delle componenti più pericolose è lo stream_module, attivato tramite il comando remote_stream, che permette all'operatore di controllare da remoto le sessioni browser clonate. Grazie al supporto del Chrome DevTools Protocol (CDP), il malware può duplicare i profili utente su sette browser Chromium principali, tra cui Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave e Chromium, sfruttando le stesse impostazioni di avvio e la crittografia dei cookie.
Controllo remoto e rischi per le sessioni online
Il modulo lancia il browser legittimo in modalità headless, indebolendo le difese tramite specifici parametri di avvio, e duplica il profilo della vittima in una posizione dedicata. Successivamente, viene stabilito un canale WebSocket che invia una registrazione JSON all'operatore, il quale può impartire comandi come navigazione e click del mouse, ricevendo in cambio informazioni sulle schede e frame video in tempo reale. Un secondo canale WebSocket collega il malware all'istanza locale di Chromium tramite webSocketDebuggerUrl, consentendo all'attaccante di esportare o importare cookie, navigare siti e gestire portali online sfruttando le sessioni già attive dell'utente.
Jamf sottolinea che l'operatore riceve uno screencast live della sessione a circa 3 fps e può interagire con tastiera, mouse, scroll e gestione delle schede, ottenendo un livello di accesso ben superiore rispetto al semplice furto di file. Il malware può inoltre esfiltrare cookie, credenziali salvate, cronologia, segnalibri, estensioni e altri dati di profilo dai 16 browser supportati, oltre a identificare e rubare dettagli dei wallet di criptovalute tramite l'analisi delle estensioni e dei dati IndexedDB.
Meccanismi di evasione e precedenti abusi del protocollo CDP
In caso di esecuzione su macOS 26, AmnesiaStealer adotta un meccanismo di fallback che sostituisce la chiave Chrome Safe Storage con un valore scelto dall'attaccante, rendendo illeggibili i cookie e le password precedenti ma permettendo la decrittazione dei dati futuri. L'abuso del Chrome DevTools Protocol non è nuovo: in passato è stato sfruttato da ransomware Chaos e dal malware Chaes per nascondere comunicazioni o facilitare il furto di dati. Tuttavia, AmnesiaStealer rappresenta il primo caso documentato su macOS in cui la clonazione del profilo Chromium si combina con il controllo remoto live tramite CDP, offrendo agli attaccanti la possibilità di interagire direttamente con le sessioni autenticati della vittima.
Questo tipo di minaccia si inserisce in un panorama di attacchi sempre più sofisticati contro i sistemi operativi desktop, come già osservato anche per altre piattaforme: ad esempio, recenti campagne malware su Android hanno sfruttato tecniche simili per il furto di dati e il controllo remoto, come illustrato nell'analisi su nuove minacce Android tra prestiti e furto carte.
Consigli di sicurezza per gli utenti macOS
Gli esperti raccomandano di non eseguire mai comandi trovati online nel terminale senza comprenderne a fondo le conseguenze. È fondamentale prestare attenzione alle fonti di download e mantenere aggiornati sia il sistema operativo che i browser, per ridurre il rischio di infezione da malware come AmnesiaStealer.
