Onderzoekers van Apple-devicebeheerder Jamf hebben een nieuwe macOS-infostealer ontdekt: AmnesiaStealer. De malware verspreidt zich via een inmiddels bekende truc, ClickFix: een nagemaakte GitHub-downloadpagina overtuigt het slachtoffer om zelf een terminalcommando uit te voeren. Dat commando start een shell-scriptloader die een wachtwoordbeveiligd archief downloadt met de eigenlijke AmnesiaStealer-payload (een Mach-O-bestand).
Wat deze stealer onderscheidt van eerdere varianten, is de stream_module: die dupliceert de gebruikersprofielen van zeven Chromium-browsers (Chrome, Edge, Vivaldi, Arc, Opera, Brave, Chromium), start ze onzichtbaar op met verzwakte beveiligingsinstellingen, en zet een WebSocket-verbinding op naar de server van de aanvaller. Via dat kanaal krijgt de aanvaller een live screencast van de sessie op ongeveer 3 frames per seconde, met volledige controle over toetsenbord, muis en navigatie — in de praktijk kan de aanvaller live door de browser van het slachtoffer klikken.
Naast deze live-toegang steelt AmnesiaStealer standaard infostealer-data uit zestien Chromium-browsers: cookies, opgeslagen wachtwoorden, geschiedenis en extensies. Daarnaast pakt de malware Apple Notes, Telegram-sessies, cryptowallets, keychain-data en systeeminformatie mee — en vangt het zelfs het macOS-wachtwoord van het slachtoffer op om de keychain te ontgrendelen.
Jamf herkende in de code sjablonen die eerder zijn gebruikt bij de infostealers Atomic en MacSync. Het advies van de onderzoekers is kort maar fundamenteel: voer nooit een terminalcommando uit dat je online hebt gevonden en niet volledig begrijpt — precies het mechanisme waarmee ClickFix-aanvallen keer op keer slagen.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.