// TOM'S HARDWARE ITALIA — CYBERSECURITY
AmnesiaStealer: il malware che controlla il browser su macOS
Una copia nascosta del profilo Chromium, avviata sul Mac compromesso e controllabile a distanza, permette agli operatori di AmnesiaStealer di usare sessioni e cookie della vittima in tempo reale. L’infostealer per macOS, osservato in circolazione da Jamf Threat Labs, sfrutta il Chrome DevTools Protocol per gestire il browser senza modificare la finestra visibile all’utente.
La catena d’infezione parte da una pagina contraffatta di GitHub, costruita con tema scuro, logo e badge «Verified Publisher». Il falso pulsante «Download for macOS» mostra istruzioni ClickFix che inducono la vittima a copiare nel Terminale un comando codificato in Base64. Le indicazioni ufficiali di Apple raccomandano di scaricare software da fonti affidabili e diffidare delle istruzioni sospette che richiedono operazioni manuali.
Il comando recupera uno script di download e un payload Mach-O universale compilato in Rust, compatibile con Apple Silicon e Mac Intel. Il malware presenta una finestra simile a quella di un installer, acquisisce la password macOS e la verifica localmente tramite dscl. Può quindi raccogliere dati del Portachiavi, Apple Notes e Telegram, documenti, wallet e database dei browser.
La raccolta prende in esame 16 browser Chromium e fino a quattro profili per ciascuno, cercando cookie, credenziali, cronologia, segnalibri, estensioni e altri database. Un modulo aggiuntivo, denominato stream_module e scaricato su comando, duplica il profilo dell’utente e avvia il browser in modalità headless. Il controllo remoto supporta Chrome, Brave, Edge, Arc, Opera, Vivaldi e Chromium, offrendo navigazione, gestione delle schede, input di mouse e tastiera e uno screencast di circa 3 fps.
Per collegare l’operatore alla sessione vengono impiegati due canali WebSocket: il primo comunica con il relay remoto, il secondo collega localmente il modulo al browser tramite Chrome DevTools Protocol. Nei test di Jamf, l’esportazione attraverso CDP ha restituito cookie in chiaro. La tecnica consente così di sfruttare una sessione già autenticata mantenendo il browser controllato separato da quello mostrato alla vittima.
AmnesiaStealer tenta inoltre di modificare TCC.db e di riutilizzare tecniche associate a CVE-2020-9771. Jamf ha verificato che questi bypass falliscono su una configurazione standard di macOS 26; l’accesso tramite snapshot può riuscire solo quando il processo dispone già di Full Disk Access. La persistenza viene affidata a un LaunchDaemon camuffato da componente Apple ReportCrash, mentre alcuni artefatti e la password sottratta possono rimanere nella directory home.
Il nome deriva dall’«Amnesia Panel» impiegato dagli operatori. La tecnica ClickFix e l’aspetto della falsa pagina GitHub erano già comparsi in campagne associate ad Atomic e MacSync, quindi questi elementi di distribuzione non sono esclusivi della nuova minaccia. L’analisi di Jamf Threat Labs, pubblicata il 13 agosto, documenta per ora una campagna attiva contro sistemi macOS.
Aggiungi Tom's Hardware alle tue fonti preferite su Google