Un nouveau logiciel malveillant baptisé AmnesiaStealer utilise une méthode qui va au-delà du vol de mots de passe et de cookies : il permet à l’attaquant de lancer la session de navigation authentifiée de la victime et de la contrôler directement depuis un navigateur caché sur l’appareil macOS infecté.
Jamf, spécialisée dans la gestion et la sécurité des appareils Apple, a analysé les campagnes de distribution du logiciel et a constaté qu’il parvenait aux utilisateurs par le biais d’attaques ClickFix. Ces campagnes reposent sur une fausse page de téléchargement qui semble être une page GitHub, puis incitent la victime à télécharger une archive ZIP protégée par mot de passe. La commande utilisée dans l’attaque exécute un programme de téléchargement écrit en shell, qui télécharge l’archive et lance le fichier Mach-O contenant le logiciel malveillant.
Copier la session du navigateur et l’exécuter sans qu’elle soit visible pour l’utilisateur
La principale capacité d’AmnesiaStealer réside dans un composant appelé stream_module, qui peut être chargé via la commande remote_stream. Ce composant copie le profil utilisateur d’un navigateur Chromium, notamment l’état d’authentification, puis le charge dans une version cachée et sans interface graphique du navigateur sur l’appareil infecté.
Ce mécanisme prend en charge sept navigateurs basés sur Chromium : Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave et Chromium. Selon Jamf, ces navigateurs partagent le même protocole DevTools, les mêmes options de lancement et le même mécanisme de chiffrement des cookies, ce qui facilite la réutilisation du profil de la victime par le logiciel.
Après le lancement du navigateur en mode caché, le logiciel crée un canal WebSocket avec un serveur relais contrôlé par l’attaquant et envoie un message d’enregistrement comprenant le nom et la version du navigateur. L’opérateur peut envoyer des commandes pour naviguer, cliquer, gérer les onglets, faire défiler les pages et utiliser le clavier, tandis qu’il reçoit des informations sur l’état de la session et des onglets ainsi que des images de l’écran à raison d’environ trois images par seconde.
Qu’est-ce qui change concrètement ?
Un second canal WebSocket se connecte à la version cachée de Chromium via l’adresse webSocketDebuggerUrl du protocole Chrome DevTools Protocol, ou CDP. Par conséquent, l’attaquant peut importer et exporter des cookies, naviguer sur des sites et interagir avec des portails en ligne au moyen de sessions qui restent authentifiées avec le compte de la victime.
Cela signifie que le risque ne se limite pas à l’extraction d’un fichier ou d’un mot de passe enregistré : l’attaquant peut interagir avec les sites comme si l’utilisateur les consultait depuis son propre appareil, tout en conservant les identifiants associés au navigateur, à l’hôte et au réseau. Jamf décrit cette capacité comme une transformation de l’appareil infecté en navigateur actif contrôlé par l’attaquant et utilisant les sessions authentifiées de la victime.
Étendue des données ciblées
AmnesiaStealer peut collecter des données provenant de 16 navigateurs basés sur Chromium, notamment les cookies, les identifiants de connexion enregistrés, l’historique de navigation, les favoris, les extensions et les données d’état local. Il recherche également les données de portefeuilles de cryptomonnaies en analysant les extensions et les données IndexedDB.
Le logiciel collecte aussi le mot de passe macOS de la victime afin d’accéder aux données du trousseau Keychain, ainsi que les notes Apple, les sessions Telegram, les documents, les informations système et les données de portefeuilles chiffrées.
Jamf a signalé un mécanisme de secours lorsque le logiciel est exécuté sur macOS 26 et qu’il ne parvient pas à récupérer la clé actuelle Chrome Safe Storage : le logiciel la remplace par une valeur définie par l’attaquant, rendant définitivement illisibles les cookies et les mots de passe précédemment stockés, tout en permettant leur déchiffrement ultérieur.
La principale mise en garde pour les utilisateurs
Jamf affirme que l’association du profil Chromium copié et du contrôle direct via CDP constitue, selon ce qu’elle a documenté, un cas inédit parmi les logiciels malveillants pour macOS. Il est recommandé aux utilisateurs de ne pas exécuter dans le terminal des commandes trouvées en ligne s’ils n’en comprennent pas parfaitement la source et la fonction, en particulier lorsqu’elles figurent sur des pages de téléchargement ou dans des instructions semblant être liées à un service fiable.