Um novo malware desenhado para roubar dados confidenciais está a visar utilizadores do macOS através de esquemas do tipo ClickFix. Batizado de AmnesiaStealer, o software malicioso distingue-se por integrar um módulo de transmissão que permite aos atacantes controlar o navegador Web da vítima de forma interativa. Segundo dados detalhados pela Jamf, a ameaça duplica os perfis de autenticação e executa uma instância oculta do navegador para aceder às sessões ativas sem acionar alertas de segurança.
Infeção por páginas falsas e roubo de credenciais
A vaga de distribuição assenta em campanhas de ClickFix que utilizam uma página falsa de descargas do GitHub para entregar um ficheiro ZIP protegido por palavra-passe. O comando executado ativa um carregador em script de shell que transfere e lança o payload Mach-O do AmnesiaStealer. Uma vez dentro do sistema, o malware captura a palavra-passe de administração do utilizador, usando essa credencial para extrair dados da cadeia de chaves (Keychain) do macOS, sessões do Telegram, notas da Apple, documentos pessoais, informações do sistema e dados de carteiras de criptomoedas.
O programa consegue recolher informações em 16 navegadores baseados em Chromium e é capaz de duplicar perfis de utilizador em 7 deles, incluindo Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave e Chromium. Como estas aplicações partilham o mesmo Chrome DevTools Protocol (CDP), sinalizadores de arranque e encriptação de cookies, o atacante obtém uma réplica idêntica do estado de autenticação.
Controlo remoto e manipulação do Chrome DevTools Protocol
A inovação técnica desta ameaça reside no componente designado por stream_module, ativado através do comando remote_stream. Este módulo lança o executável legítimo do navegador em modo oculto (headless) com parâmetros de linha de comandos que enfraquecem as defesas nativas. Em seguida, estabelece um canal WebSocket com o servidor do atacante, enviando uma mensagem de registo em formato JSON com o nome e a versão do navegador.
Através deste canal, o operador envia ordens diretas de navegação e cliques de rato, enquanto o malware devolve o estado dos separadores e transmite imagens do ecrã a cerca de 3 frames por segundo (fps). Um segundo canal WebSocket liga-se à instância local através do endereço webSocketDebuggerUrl, garantindo acesso total às funcionalidades do CDP. Esta arquitetura permite interagir com os portais online da vítima, exportar ou importar cookies e operar nas contas ativas, pois a navegação decorre diretamente a partir do equipamento infetado e preserva os identificadores da rede e do sistema.
Mecanismo de contingência e impacto na segurança
Nas infeções detetadas em sistemas macOS 26 onde o malware não consegue recuperar a chave existente do Chrome Safe Storage, o AmnesiaStealer ativa um mecanismo de contingência. O software substitui essa chave por um valor fornecido pelo atacante. Esta alteração torna os cookies e as palavras-passe guardadas anteriormente ilegíveis para o utilizador, mas permite ao cibercriminoso desencriptar os dados recolhidos posteriormente.
Embora o Chrome DevTools Protocol já tenha sido explorado por outros grupos no passado, esta é a primeira vez que se documenta no ecossistema macOS a combinação entre a clonagem de perfis Chromium e o controlo remoto em tempo real via CDP. Para evitar este tipo de contaminação, a recomendação fundamental passa por nunca copiar e executar comandos no Terminal que venham de fontes desconhecidas na internet.
Nenhum comentário
Seja o primeiro!