AmnesiaStealer verwandelt den macOS-Browser in eine fernsteuerbare Sitzung

Eine gefälschte GitHub-Seite bringt das Opfer dazu, das Terminal zu verwenden

Am 14. August 2026 meldete Jamf Threat Labs AmnesiaStealer, einen neuen, in Rust geschriebenen Infostealer, der auf macOS-Nutzer abzielt.

Die beobachtete Verbreitung nutzt gefälschte GitHub-Seiten. Die Websites imitieren das dunkle Design der Plattform, zeigen das Octocat-Logo und enthalten sogar ein „Verified Publisher“-Badge. Die Download-Schaltfläche wurde jedoch durch eine Anweisung ersetzt: einen Befehl in das Terminal zu kopieren und einzufügen.

Dabei handelt es sich um die ClickFix-Technik, bei der die Interaktion des Nutzers missbraucht wird, anstatt einen herkömmlichen Download anzubieten. Der Befehl startet ein Shell-Skript, das die Payload herunterlädt und ausführt.

Ein vergleichbarer Seitentyp wurde auch mit Kampagnen in Verbindung gebracht, die Atomic Stealer und MacSync zugerechnet werden. Das deutet darauf hin, dass mehrere Malware-Familien möglicherweise dieselbe Infrastruktur und ähnliche Lockmuster wiederverwenden.

Die genauen kompatiblen macOS- und Browserversionen wurden nicht veröffentlicht. Die Analyse weist jedoch auf ein spezifisches Verhalten unter macOS 26 hin.

Drei Komponenten – von der Infektion bis zur Browserkontrolle

Die Infektionskette besteht aus drei Stufen. Die erste ist ein Shell-Skript, das die Malware abruft und startet. Die zweite ist der Rust-basierte Infostealer, der Informationen vom System sammelt. Die dritte ist stream_module, das bei Bedarf heruntergeladen wird.

Das Modul fügt der Bedrohung ihre gefährlichste Funktion hinzu: den Befehl remote_stream. Es stiehlt nicht nur Cookies oder Passwörter, sondern erstellt eine Browsersitzung, die der Angreifer in Echtzeit steuern kann.

Dafür klont AmnesiaStealer das Browserprofil und startet eine Headless-Sitzung. Der Angreifer kann anschließend Tastatureingaben senden, Mausklicks ausführen, navigieren und geöffnete Tabs verwalten. Die Aktivitäten finden in einem separaten, verborgenen Fenster statt.

Das normalerweise vom Opfer verwendete Browserfenster bleibt unverändert. Der Nutzer kann seine eigene Sitzung daher weiterhin sehen, ohne zu bemerken, dass eine weitere Instanz dasselbe Profil verwendet.

Das Modul nutzt das Chrome DevTools Protocol und ruft Network.getAllCookies in der Headless-Sitzung auf. Zu diesem Zeitpunkt hat der Browser die Cookies bereits im Arbeitsspeicher entschlüsselt. Dadurch kann die Malware ihre Werte im Klartext empfangen, ohne die Verschlüsselung der gespeicherten Daten direkt umgehen zu müssen.

AmnesiaStealer verwendet außerdem Page.addScriptToEvaluateOnNewDocument, um Fingerprinting-APIs zu verändern. Dadurch soll die Wahrscheinlichkeit sinken, dass besuchte Websites die automatisierte Sitzung erkennen.

Zugangsdaten, Dokumente und Anwendungen im Visier

Zunächst versucht die Malware, den Login-Schlüsselbund von macOS zu entsperren und auszulesen. Anschließend sucht sie nach Daten in Apple Notes und Telegram sowie in den Ordnern Desktop, Documents und Downloads.

Die Analyse weist außerdem auf die Suche nach Dokumenten und Dateien im Zusammenhang mit Wallets hin. Im Browserbereich zielt die Malware auf 16 Chromium-basierte Browser ab und versucht daraus Cookies, Zugangsdaten, Browserverlauf und Erweiterungsdaten zu stehlen.

Das Ergebnis kann gespeicherte Passwörter, Authentifizierungscookies und aktive Sitzungen umfassen. Letztere sind besonders relevant: Eine bereits authentifizierte Sitzung kann den Zugriff auf einen Dienst ermöglichen, ohne dass das Passwort erneut eingegeben werden muss oder zwingend ein neuer Login-Vorgang ausgelöst wird.

Während der Installation zeigt die Malware ein natives macOS-Fenster, das eine Passwortabfrage imitiert. Der eingegebene Wert wird lokal mit dscl überprüft. Wird das Passwort nicht akzeptiert, zeigt das Fenster weiterhin die Meldung „Incorrect password. Please try again“ an.

Sobald der korrekte Wert vorliegt, verwendet AmnesiaStealer ihn für mehrere Vorgänge mit erhöhten Rechten erneut. Dazu gehören sudo -S und security unlock-keychain -p. Außerdem wird das Passwort im Klartext in der Staging-Datei pwd und im Home-Verzeichnis des Benutzers unter ~/.pwd gespeichert.

Dieser Schritt erweitert die Auswirkungen über den einzelnen Browser hinaus. Die Kompromittierung des lokalen Passworts kann den Zugriff auf den Schlüsselbund und weitere geschützte Systemressourcen erleichtern.

Root-Persistenz und Manipulation von Chrome Safe Storage

Um Neustarts zu überstehen, installiert AmnesiaStealer einen LaunchDaemon, der mit Root-Rechten ausgeführt wird. Sein Name imitiert einen Apple-Dienst für die Absturzberichterstattung: com.apple.ReportCrash.agent, gefolgt von einem zufälligen numerischen Suffix.

Die Konfiguration ermöglicht es der Malware, im Konto des Konsolenbenutzers zu arbeiten. Ein LaunchDaemon mit dieser Bezeichnung sollte daher umgehend überprüft werden, insbesondere wenn er ohne nachvollziehbare administrative Änderung aufgetaucht ist.

Unter macOS 26 kann die Bedrohung den Schlüssel für Chrome Safe Storage manipulieren. Kann sie ihn nicht über die üblichen Verfahren abrufen, löscht sie ihn und ersetzt ihn durch einen dem Angreifer bekannten Schlüssel.

Damit lassen sich später gesammelte Passwörter und Cookies entschlüsseln. Die Aktion hat jedoch auch eine zerstörerische Wirkung: Zuvor gespeicherte Daten können dadurch unzugänglich werden.

Das Verhalten dient somit nicht ausschließlich dem Diebstahl. Es kann den Schutzstatus des Browsers verändern und die Verfügbarkeit bereits gespeicherter Informationen beeinträchtigen.

Eine Infrastruktur für unterschiedliche Kampagnen

Das Command-and-Control-Backend trägt den Namen Amnesia Panel und befindet sich im Root-Verzeichnis der für die Verbreitung verwendeten Domain. Wenn die Authentifizierung fehlschlägt, gibt das Panel Fehlermeldungen in russischer Sprache zurück.

Die Analyse identifizierte folgendes URL-Schema:

/d/command?t=token&b=build

Dasselbe Schema erscheint auf mehreren Domains, die auf dieselbe IP-Adresse aufgelöst werden. Dieses Verhalten ist mit einem Builder vereinbar, der für jede Kampagne unterschiedliche Konfigurationen erzeugen und in die Payload integrieren kann.

Die Konfigurationen werden als XOR-verschlüsselte Blobs eingebettet. Der Name der Malware-Familie, die russischsprachigen Meldungen, die gemeinsam genutzten Lockseiten und die wiederverwendete Infrastruktur deuten auf eine organisierte Aktivität und nicht auf einen isolierten Test hin.

Es ist nicht bekannt, ob AmnesiaStealer in den KEV-Katalog der CISA aufgenommen wurde. Ebenso liegen im verfügbaren Informationsstand keine Angaben zu einer entsprechenden Frist für die Behebung vor. Auf Grundlage der verfügbaren Daten kann die Bedrohung daher nicht als katalogisierte Schwachstelle mit aktivem Exploit behandelt werden: Es handelt sich um Malware, die über Social Engineering verbreitet wird.

Was auf einem verdächtigen Mac überprüft werden sollte

Der erste Indikator ist eine GitHub-Seite, die dazu auffordert, Befehle in das Terminal einzufügen. Ein legitimes Projekt kann zwar Befehle für die Kommandozeile bereitstellen. Eine als zwingende Alternative zum Download präsentierte Aufforderung sollte jedoch vor der Ausführung überprüft werden.

Ebenfalls zu kontrollieren sind:

• macOS-Fenster, die ein Passwort anfordern und wie ein Installationsdialog aussehen;
• ungewöhnliche Verwendung von dscl, sudo -S und security unlock-keychain;
• das Vorhandensein der Dateien pwd und ~/.pwd;
• LaunchDaemons mit Bezeichnungen ähnlich wie com.apple.ReportCrash.agent;
• das Löschen und erneute Erstellen von Chrome-Safe-Storage-Einträgen über security;
• Headless-Sitzungen und ungewöhnliche Aufrufe des Chrome DevTools Protocol;
• verschiedene Domains, die das Schema /d/command?t=token&b=build und dieselbe Auflösungsadresse verwenden.

Wer den Befehl der Lockseite ausgeführt hat, sollte den Mac vom Netzwerk isolieren und die Zugangsdaten von einem als vertrauenswürdig geltenden Gerät aus ändern. Browserpasswörter und aktive Sitzungen müssen als kompromittiert betrachtet werden. Daher sollten Sitzungen widerrufen, Tokens nach Möglichkeit neu erstellt und Zugriffe auf E-Mail, Messaging-Dienste, Cloud-Dienste und Wallets überprüft werden.

Das Briefing nennt kein einzelnes Softwareupdate, mit dem sich die Infektion beheben lässt. Der wichtigste Schutz besteht darin, die Ausführung aus Webseiten kopierter Befehle zu vermeiden, Persistenzmechanismen zu überprüfen und nach den von der Malware hinterlassenen technischen Indikatoren zu suchen.