// PUNTO INFORMATICO — MONDO
AmnesiaStealer colpisce i Mac e prende il controllo dei browser
Una nuova minaccia informatica colpisce i computer con macOS attaccando i dati di navigazione e le credenziali. Battezzato con il dolce nome di AmnesiaStealer, questo programma sviluppato in linguaggio Rust combina il furto di file riservati con il controllo da remoto delle sessioni web.
Gli specialisti dell’azienda Jamf hanno individuato questo software malevolo distribuito tramite false pagine di download su GitHub. L’attacco induce l’utente a eseguire un comando nel proprio Terminale, installando così un componente capace di duplicare il profilo di navigazione per manipolare gli account della vittima.
Come i malware Atomic e MacSync, questo attacco tramite ClickFix scarica un archivio ZIP protetto da password. Lo script estrae un file eseguibile, il quale mostra una falsa finestra di installazione per ottenere la password di amministratore. Munito di questi privilegi, il programma si impossessa del portachiavi di accesso, delle note Apple, dei documenti personali e dei database di sedici browser basati su Chromium. Nell’applicazione Telegram, lo strumento seleziona specificamente le directory degli account e filtra le cartelle secondarie per accelerare l’estrazione.
Per accedere ai dati protetti dal sistema operativo, il programma tenta di sfruttare una vulnerabilità legata agli snapshot dei dischi locali APFS. Questo metodo fallisce su macOS 26, a meno che l’applicazione di comando non abbia già ricevuto un accesso completo al disco.
Quando il software non riesce a recuperare la chiave di cifratura del browser, attiva un meccanismo alternativo. Cancella la chiave originale nel portachiavi e la sostituisce con una password codificata dall’attaccante. Questa modifica rende le password e i cookie salvati illeggibili per l’utente, consentendo al contempo ai pirati di decifrare tutti i dati registrati successivamente. Uno studio indica peraltro che solo il 37% delle azioni malevole viene bloccato quando gli attaccanti dispongono di credenziali valide.
AmnesiaStealer si distingue per un secondo componente chiamato stream_module. Questo sottoprogramma duplica il profilo del browser e lo avvia in background senza interfaccia visuale, in modalità headless. Tramite il protocollo di sviluppo Chrome DevTools Protocol, apre un canale di comunicazione WebSocket con il server di controllo. L’operatore remoto riceve un flusso video dello schermo a 3 fotogrammi al secondo e trasmette le proprie azioni di tastiera e mouse. Questo metodo consente agli hacker di navigare direttamente sugli account già autenticati del bersaglio senza attivare nuovi avvisi di sicurezza.