AmnesiaStealer convierte el navegador de macOS en una sesión controlable de forma remota

Un GitHub falso convence a la víctima para usar Terminal

El 14 de agosto de 2026, Jamf Threat Labs informó sobre AmnesiaStealer, un nuevo infostealer escrito en Rust y diseñado para atacar a usuarios de macOS.

La distribución observada utiliza páginas de GitHub falsificadas. Los sitios imitan el tema oscuro de la plataforma, muestran el logotipo de Octocat e incluso incluyen una insignia de “Verified Publisher”. Sin embargo, el botón de descarga se sustituye por una instrucción para copiar y pegar un comando en Terminal.

Se trata de la técnica ClickFix, que abusa de la interacción del usuario en lugar de recurrir a una descarga tradicional. El comando inicia un script de shell que descarga y ejecuta el payload.

También se han vinculado páginas del mismo tipo con campañas asociadas a Atomic Stealer y MacSync. Esto sugiere que varias familias de malware podrían estar reutilizando infraestructuras y modelos de engaño.

No se han dado a conocer las versiones exactas de macOS ni los navegadores compatibles. No obstante, el análisis apunta a un comportamiento específico en macOS 26.

Tres componentes, desde la infección hasta el control del navegador

La cadena de infección consta de tres etapas. La primera es un script de shell que descarga y ejecuta el malware. La segunda es el infostealer escrito en Rust, encargado de recopilar información del sistema. La tercera es stream_module, que se descarga cuando es necesario.

Este módulo añade la función más peligrosa de la amenaza: el comando remote_stream. No se limita a extraer cookies o contraseñas, sino que crea una sesión de navegador controlable en tiempo real por el operador.

Para ello, AmnesiaStealer clona el perfil del navegador e inicia una sesión headless. El atacante puede enviar entradas de teclado, hacer clic con el ratón, navegar y gestionar las pestañas abiertas. La actividad se desarrolla en una ventana independiente y oculta.

La ventana del navegador que utiliza normalmente la víctima permanece sin cambios. Por tanto, el usuario puede seguir viendo su sesión sin advertir que otra instancia está operando sobre el mismo perfil.

El módulo aprovecha el Chrome DevTools Protocol y ejecuta Network.getAllCookies en la sesión headless. En ese momento, el navegador ya ha descifrado las cookies en memoria, lo que permite al malware obtener sus valores en texto claro sin tener que eludir directamente el cifrado de los datos almacenados.

Además, AmnesiaStealer utiliza Page.addScriptToEvaluateOnNewDocument para modificar las API de fingerprinting. El objetivo es reducir la probabilidad de que los sitios visitados detecten la sesión automatizada.

Credenciales, documentos y aplicaciones en el punto de mira

En primer lugar, el malware intenta desbloquear y leer el login keychain de macOS. Después busca datos en Apple Notes y Telegram, así como en las carpetas Desktop, Documents y Downloads.

El análisis también indica que busca documentos y archivos relacionados con wallets. En cuanto a los navegadores, el objetivo incluye 16 navegadores de la familia Chromium, de los que intenta extraer cookies, credenciales, historial y datos de extensiones.

El resultado puede incluir contraseñas almacenadas, cookies de autenticación y sesiones activas. Estas últimas son especialmente relevantes: una sesión ya autenticada puede permitir el acceso a un servicio sin volver a introducir la contraseña y sin activar necesariamente un nuevo flujo de inicio de sesión.

Durante la instalación, el malware muestra una ventana nativa de macOS que imita una solicitud de contraseña. El valor introducido se verifica localmente mediante dscl. Si la contraseña no se acepta, la ventana sigue mostrando el mensaje “Incorrect password. Please try again”.

Cuando obtiene el valor correcto, AmnesiaStealer lo reutiliza en varias operaciones privilegiadas, entre ellas sudo -S y security unlock-keychain -p. Además, guarda la contraseña en texto claro en el archivo de staging pwd y en el directorio personal del usuario, en la ruta ~/.pwd.

Este paso amplía el impacto más allá del navegador. La compromisión de la contraseña local puede facilitar el acceso al llavero y a otros recursos protegidos del sistema.

Persistencia como root y manipulación de Chrome Safe Storage

Para sobrevivir a los reinicios, AmnesiaStealer instala un LaunchDaemon que se ejecuta con privilegios de root. El nombre imita el de un servicio de Apple para la generación de informes de fallos: com.apple.ReportCrash.agent, seguido de un sufijo numérico aleatorio.

La configuración permite al malware operar en la cuenta del usuario de la consola. Por ello, un LaunchDaemon con esta denominación, especialmente si aparece sin una modificación administrativa reconocible, debe investigarse de inmediato.

En macOS 26, la amenaza puede intervenir en la clave Chrome Safe Storage. Si no consigue recuperarla mediante los procedimientos habituales, la elimina y la sustituye por una clave ya conocida por el atacante.

Esto permite descifrar posteriormente las contraseñas y cookies recopiladas. Sin embargo, la acción también tiene un efecto destructivo: los datos almacenados previamente pueden quedar inaccesibles.

Por tanto, el comportamiento no está orientado únicamente al robo. También puede modificar el estado de protección del navegador y comprometer la disponibilidad de la información guardada.

Una infraestructura preparada para distintas campañas

El backend de comando y control se denomina Amnesia Panel y se encuentra en la raíz del dominio utilizado para la distribución. Cuando la autenticación falla, el panel devuelve mensajes de error en ruso.

El análisis identificó el siguiente esquema de URL:

/d/command?t=token&b=build

El mismo esquema aparece en varios dominios que resuelven a la misma dirección IP. Este comportamiento es compatible con un builder capaz de generar configuraciones diferentes para cada campaña e incorporarlas al payload.

Las configuraciones se integran como blobs cifrados mediante XOR. El nombre de la familia, los mensajes en ruso, las páginas señuelo compartidas y la reutilización de la infraestructura apuntan a una actividad organizada, no a una prueba aislada.

No se sabe si AmnesiaStealer se ha incorporado al catálogo KEV de CISA, ni constan en la información disponible datos sobre un plazo de remediation relacionado. Por tanto, no puede tratarse, basándose en los datos actuales, como una vulnerabilidad catalogada por explotación activa: es malware distribuido mediante ingeniería social.

Qué comprobar en un Mac sospechoso

El primer indicador es una página de GitHub que solicita pegar comandos en Terminal. Un proyecto legítimo puede proporcionar instrucciones de línea de comandos, pero cualquier petición presentada como alternativa obligatoria a la descarga debe verificarse antes de ejecutarla.

También deben comprobarse:

• ventanas de macOS que soliciten la contraseña y tengan un aspecto similar al de un diálogo de instalación;
• uso anómalo de dscl, sudo -S y security unlock-keychain;
• presencia de los archivos pwd y ~/.pwd;
• LaunchDaemons con nombres similares a com.apple.ReportCrash.agent;
• eliminación y recreación de entradas de Chrome Safe Storage mediante security;
• sesiones headless y llamadas inusuales al Chrome DevTools Protocol;
• dominios diferentes que compartan el esquema /d/command?t=token&b=build y la misma dirección de resolución.

Quien haya ejecutado el comando de la página señuelo debe aislar el Mac de la red y cambiar las credenciales desde un dispositivo considerado fiable. Las contraseñas del navegador y las sesiones activas deben considerarse expuestas; por ello, es necesario revocar las sesiones, regenerar los tokens cuando sea posible y revisar el acceso al correo, la mensajería, los servicios cloud y las wallets.

El informe no señala una actualización de software concreta capaz de corregir la infección. La principal defensa consiste en evitar ejecutar comandos copiados de páginas web, revisar los mecanismos de persistencia y buscar los indicadores técnicos dejados por el malware.