Um novo malware chamado AmnesiaStealer usa uma técnica que vai além do roubo de senhas e cookies, permitindo que o invasor execute e controle diretamente a sessão autenticada do navegador da vítima por meio de um navegador oculto no dispositivo macOS infectado.
A Jamf, especializada no gerenciamento e na segurança de dispositivos Apple, analisou campanhas de distribuição do malware e descobriu que ele chega aos usuários por meio de ataques ClickFix. Essas campanhas usam uma página de download falsa que parece ser uma página do GitHub e, em seguida, induzem a vítima a baixar um arquivo ZIP protegido por senha. O comando usado no ataque executa um carregador escrito em shell, que baixa o arquivo e executa um arquivo Mach-O que contém o malware.
Clonagem da sessão do navegador e execução sem que o usuário perceba
Entre os principais recursos do AmnesiaStealer está um componente chamado stream_module, que pode ser carregado por meio do comando remote_stream. Esse componente copia o perfil do usuário no navegador Chromium, incluindo o estado de autenticação, e depois o carrega em uma versão oculta e sem interface gráfica do navegador no dispositivo infectado.
Esse mecanismo é compatível com sete navegadores baseados no Chromium: Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave e Chromium. Segundo a Jamf, esses navegadores compartilham o mesmo protocolo DevTools, opções de inicialização e mecanismo de criptografia de cookies, o que facilita para o malware reutilizar o perfil da vítima.
Depois de iniciar o navegador no modo oculto, o malware cria um canal WebSocket com um servidor de retransmissão controlado pelo invasor e envia uma mensagem de registro que inclui o nome e a versão do navegador. O operador pode enviar comandos para navegar, clicar, gerenciar abas, rolar e usar o teclado, enquanto recebe informações sobre o estado da sessão e das abas, além de quadros de transmissão da tela a uma taxa de aproximadamente três imagens por segundo.
O que muda na prática?
Um segundo canal WebSocket se conecta à versão oculta do Chromium por meio do endereço webSocketDebuggerUrl do Chrome DevTools Protocol, ou CDP. Como resultado, o invasor pode importar e exportar cookies, navegar por sites e interagir com portais online usando sessões que continuam autenticadas na conta da vítima.
Isso significa que o risco não se limita à extração de um arquivo ou de uma senha salva; o invasor pode interagir com os sites como se o usuário estivesse navegando a partir do próprio dispositivo, mantendo os identificadores associados ao navegador, ao host e à rede. A Jamf descreve esse recurso como uma transformação do dispositivo infectado em um navegador ativo operado pelo invasor e que usa as sessões autenticadas da vítima.
Escopo dos dados visados
O AmnesiaStealer consegue coletar dados de 16 navegadores baseados no Chromium, incluindo cookies, dados de login salvos, histórico de navegação, favoritos, extensões e dados de estado local. Ele também procura dados de carteiras de criptomoedas examinando extensões e dados do IndexedDB.
O malware também coleta a senha do macOS da vítima para usá-la no acesso aos dados do Keychain, além de Notas da Apple, sessões do Telegram, documentos, informações do sistema e dados de carteiras criptografadas.
A Jamf indicou um mecanismo de reserva quando o malware é executado no macOS 26 e não consegue recuperar a chave atual do Chrome Safe Storage; nesse caso, o malware a substitui por um valor definido pelo invasor, tornando permanentemente ilegíveis os cookies e as senhas armazenados anteriormente, com possibilidade de descriptografar os dados posteriormente.
O principal alerta aos usuários
A Jamf afirma que a combinação do perfil do Chromium clonado com o controle direto por meio do CDP representa, de acordo com o que foi documentado, um caso novo em malwares para macOS. Recomenda-se que os usuários não executem comandos no terminal encontrados na internet sem compreender completamente sua origem e função, especialmente quando aparecem em páginas de download ou instruções que parecem estar relacionadas a um serviço confiável.