AmnesiaStealerという新たなマルウェアは、パスワードやCookieを窃取するだけでなく、感染したmacOSデバイス上の隠しブラウザーを通じて、被害者の認証済みブラウザーセッションを直接実行・制御する手法を使用します。
Appleデバイスの管理とセキュリティを専門とするJamfは、このマルウェアの配布キャンペーンを分析し、ClickFix攻撃を通じてユーザーに届けられていることを確認しました。これらのキャンペーンでは、GitHubのページに見せかけた偽のダウンロードページを使用し、被害者にパスワードで保護されたZIPアーカイブをダウンロードさせます。攻撃で使用されるコマンドは、shellで記述されたローダーを実行し、アーカイブをダウンロードして、マルウェアを含むMach-Oファイルを起動します。
ブラウザーセッションをコピーし、ユーザーに気付かれずに実行
AmnesiaStealerの主な機能は、remote_streamコマンドで読み込めるstream_moduleというコンポーネントです。このコンポーネントは、認証状態を含むChromiumブラウザーのユーザープロファイルをコピーし、感染したデバイス上でGUIを持たない非表示のブラウザーインスタンスに読み込みます。
この仕組みは、Google Chrome、Microsoft Edge、Vivaldi、Arc、Opera、Brave、Chromiumの7つのChromiumベースのブラウザーに対応しています。Jamfによると、これらのブラウザーは同じDevToolsプロトコル、起動オプション、Cookieの暗号化方式を共有しているため、マルウェアは被害者のプロファイルを容易に再利用できます。
ブラウザーを非表示モードで起動すると、マルウェアは攻撃者が制御するリレーサーバーとの間にWebSocketチャネルを確立し、ブラウザー名とバージョンを含む登録メッセージを送信します。操作者は、移動、クリック、タブの管理、スクロール、キーボードの使用に関するコマンドを送信できます。一方、マルウェアはセッションとタブの状態に関する情報、および毎秒約3枚の画面ストリームフレームを受信します。
実際に何が変わるのか？
2つ目のWebSocketチャネルは、Chrome DevTools Protocol（CDP）のwebSocketDebuggerUrlを介して、非表示のChromiumインスタンスに接続します。その結果、攻撃者はCookieをインポート・エクスポートし、ウェブサイト内を移動し、被害者のアカウントで認証済みのセッションを使用してインターネットポータルとやり取りできます。
つまり、危険は保存されたファイルやパスワードの抽出にとどまりません。攻撃者は、ブラウザー、ホスト、ネットワークに関連付けられた識別子を維持したまま、ユーザーが自分のデバイスから閲覧しているかのようにウェブサイトを操作できます。Jamfはこの機能について、感染したデバイスを、攻撃者が操作し、被害者の認証済みセッションを使用するライブブラウザーへと変えるものだと説明しています。
標的となるデータの範囲
AmnesiaStealerは、16種類のChromiumベースのブラウザーからデータを収集できます。対象には、Cookie、保存されたログイン情報、閲覧履歴、ブックマーク、拡張機能、ローカル状態データが含まれます。また、拡張機能とIndexedDBデータを調査して、暗号資産ウォレットのデータも探します。
このマルウェアは、Keychainデータへのアクセスに使用するため、被害者のmacOSパスワードも収集します。さらに、Appleのメモ、Telegramのセッション、文書、システム情報、暗号化されたウォレットのデータも収集します。
Jamfは、macOS 26でマルウェアを実行し、現在のChrome Safe Storageキーを復元できなかった場合のバックアップメカニズムも指摘しました。この場合、マルウェアはそのキーを攻撃者が指定した値に置き換えます。これにより、以前に保存されていたCookieとパスワードは恒久的に読み取れなくなりますが、その後にデータを復号できるようになります。
ユーザーへの主な警告
Jamfによると、コピーされたChromiumプロファイルとCDPを介した直接制御の組み合わせは、同社が記録した範囲では、macOSマルウェアにおける新たな事例です。ユーザーには、オンラインで見つけたターミナルコマンドについて、その出所と機能を完全に理解していない限り実行しないことが推奨されます。特に、信頼できるサービスに関連しているように見えるダウンロードページや手順に含まれている場合は注意が必要です。