Eine neue Schadsoftware namens AmnesiaStealer geht über den Diebstahl von Passwörtern und Cookies hinaus: Sie ermöglicht es dem Angreifer, die authentifizierte Browsersitzung des Opfers direkt über einen versteckten Browser auf dem infizierten macOS-Gerät auszuführen und zu steuern.
Jamf, ein auf die Verwaltung und Sicherheit von Apple-Geräten spezialisiertes Unternehmen, analysierte die Verbreitungskampagnen der Schadsoftware und stellte fest, dass sie Nutzer über ClickFix-Angriffe erreicht. Diese Kampagnen nutzen eine gefälschte Download-Seite, die wie eine GitHub-Seite aussieht, und bringen das Opfer anschließend dazu, ein passwortgeschütztes ZIP-Archiv herunterzuladen. Der im Angriff verwendete Befehl führt ein in Shell geschriebenes Loader-Programm aus, das das Archiv herunterlädt und die Mach-O-Datei mit der Schadsoftware startet.
Browsersitzung kopieren und für den Nutzer unsichtbar ausführen
Zu den wichtigsten Fähigkeiten von AmnesiaStealer gehört eine Komponente namens stream_module, die über den Befehl remote_stream geladen werden kann. Diese Komponente kopiert das Nutzerprofil eines Chromium-Browsers einschließlich des Authentifizierungsstatus und lädt es anschließend in einer versteckten, nicht grafischen Browserinstanz auf dem infizierten Gerät.
Dieser Mechanismus unterstützt sieben auf Chromium basierende Browser: Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave und Chromium. Laut Jamf verwenden diese Browser dasselbe DevTools-Protokoll, dieselben Startoptionen und denselben Mechanismus zur Verschlüsselung von Cookie-Dateien, wodurch die Schadsoftware das Profil des Opfers leichter wiederverwenden kann.
Nach dem Start des Browsers im versteckten Modus richtet die Schadsoftware einen WebSocket-Kanal zu einem vom Angreifer kontrollierten Relay-Server ein und sendet eine Registrierungsnachricht mit dem Namen und der Version des Browsers. Der Betreiber kann Befehle zum Navigieren, Klicken, Verwalten von Tabs, Scrollen und zur Verwendung der Tastatur senden, während er Informationen über den Sitzungsstatus und die Tabs sowie Bildschirm-Streaming-Frames mit etwa drei Bildern pro Sekunde empfängt.
Was ändert sich in der Praxis?
Ein zweiter WebSocket-Kanal verbindet sich über die Adresse webSocketDebuggerUrl des Chrome-DevTools-Protokolls, kurz CDP, mit der versteckten Chromium-Instanz. Dadurch kann der Angreifer Cookies importieren und exportieren, Websites aufrufen und mit Internetportalen über Sitzungen interagieren, die weiterhin mit dem Konto des Opfers authentifiziert sind.
Das bedeutet, dass sich die Gefahr nicht auf das Extrahieren einer Datei oder eines gespeicherten Passworts beschränkt: Der Angreifer kann mit Websites so umgehen, als würde der Nutzer sie von seinem eigenen Gerät aus aufrufen, und dabei die mit Browser, Host und Netzwerk verbundenen Identifikatoren beibehalten. Jamf beschreibt diese Fähigkeit als Umwandlung des infizierten Geräts in einen vom Angreifer gesteuerten Live-Browser, der die authentifizierten Sitzungen des Opfers verwendet.
Umfang der anvisierten Daten
AmnesiaStealer kann Daten aus 16 auf Chromium basierenden Browsern sammeln, darunter Cookies, gespeicherte Anmeldedaten, Browserverlauf, Lesezeichen, Erweiterungen und lokale Statusdaten. Außerdem sucht die Schadsoftware nach Daten von Kryptowährungs-Wallets, indem sie Erweiterungen und IndexedDB-Daten untersucht.
Die Schadsoftware sammelt außerdem das macOS-Passwort des Opfers, um auf Keychain-Daten zuzugreifen, sowie Apple-Notizen, Telegram-Sitzungen, Dokumente, Systeminformationen und Daten verschlüsselter Wallets.
Jamf wies auf einen Fallback-Mechanismus hin, wenn die Schadsoftware unter macOS 26 ausgeführt wird und den aktuellen Chrome-Safe-Storage-Schlüssel nicht wiederherstellen kann: Die Schadsoftware ersetzt ihn durch einen vom Angreifer festgelegten Wert. Dadurch werden zuvor gespeicherte Cookies und Passwörter dauerhaft unlesbar, während eine spätere Entschlüsselung ermöglicht wird.
Die wichtigste Warnung für Nutzer
Jamf zufolge stellt die Kombination aus dem kopierten Chromium-Profil und der direkten Steuerung über CDP nach der bisherigen Dokumentation des Unternehmens einen neuen Fall bei macOS-Schadsoftware dar. Nutzern wird empfohlen, keine Terminalbefehle auszuführen, die sie online gefunden haben, sofern sie deren Quelle und Funktion nicht vollständig verstehen, insbesondere wenn diese in Download-Seiten oder Anleitungen enthalten sind, die scheinbar mit einem vertrauenswürdigen Dienst verbunden sind.