AmnesiaStealer trasforma il browser macOS in una sessione controllabile da remoto

Un falso GitHub convince la vittima a usare il Terminale

Il 14 agosto 2026 Jamf Threat Labs ha segnalato AmnesiaStealer, un nuovo infostealer scritto in Rust e progettato per colpire utenti macOS.

La distribuzione osservata sfrutta pagine GitHub contraffatte. I siti replicano il tema scuro della piattaforma, mostrano il logo Octocat e includono persino un badge “Verified Publisher”. Il pulsante di download, però, viene sostituito da un’istruzione: copiare e incollare un comando nel Terminale.

È la tecnica ClickFix, basata sull’abuso dell’interazione dell’utente invece che su un download tradizionale. Il comando avvia uno script shell, che scarica ed esegue il payload.

Lo stesso tipo di pagina è stato collegato anche a campagne associate ad Atomic Stealer e MacSync. Il dato suggerisce il possibile riutilizzo di infrastrutture e modelli di adescamento da parte di più famiglie malware.

Le versioni precise di macOS e dei browser compatibili non sono state rese note. L’analisi indica comunque un comportamento specifico su macOS 26.

Tre componenti, dall’infezione al controllo del browser

La catena d’infezione è composta da tre stadi. Il primo è uno script shell che recupera il malware e lo avvia. Il secondo è l’infostealer Rust, incaricato di raccogliere informazioni dal sistema. Il terzo è stream_module, scaricato quando necessario.

Il modulo aggiunge la funzione più pericolosa della minaccia: il comando remote_stream. Non si limita a estrarre cookie o password, ma crea una sessione browser controllabile dall’operatore in tempo reale.

Per farlo, AmnesiaStealer clona il profilo del browser e avvia una sessione headless. L’attaccante può quindi inviare input da tastiera, cliccare con il mouse, navigare e gestire le schede aperte. L’attività avviene in una finestra separata e nascosta.

La finestra del browser normalmente utilizzata dalla vittima resta invariata. L’utente, quindi, può continuare a vedere la propria sessione senza notare che un’altra istanza sta operando sullo stesso profilo.

Il modulo sfrutta il Chrome DevTools Protocol e richiama Network.getAllCookies sulla sessione headless. In quel momento il browser ha già decifrato i cookie in memoria, consentendo al malware di riceverne i valori in chiaro senza dover aggirare direttamente la cifratura dei dati archiviati.

AmnesiaStealer usa inoltre Page.addScriptToEvaluateOnNewDocument per alterare le API di fingerprinting. L’obiettivo è ridurre la probabilità che i siti visitati riconoscano la sessione automatizzata.

Credential, documenti e applicazioni nel mirino

Il malware tenta innanzitutto di sbloccare e leggere il login keychain di macOS. Cerca poi dati in Apple Notes e Telegram, oltre che nelle cartelle Desktop, Documents e Downloads.

L’analisi indica anche la ricerca di documenti e file associati a wallet. Sul fronte browser, il bersaglio comprende 16 browser della famiglia Chromium, dai quali il malware prova a sottrarre cookie, credenziali, cronologia e dati delle estensioni.

Il risultato può includere password memorizzate, cookie di autenticazione e sessioni attive. Questi ultimi sono particolarmente rilevanti: una sessione già autenticata può permettere di accedere a un servizio senza conoscere nuovamente la password e senza attivare necessariamente un nuovo flusso di login.

Il malware mostra una finestra nativa macOS che imita una richiesta di password durante l’installazione. Il valore inserito viene verificato localmente con dscl. Se la password non viene accettata, la finestra continua a mostrare il messaggio “Incorrect password. Please try again”.

Quando ottiene il valore corretto, AmnesiaStealer lo riutilizza in più operazioni privilegiate. Tra queste figurano sudo -S e security unlock-keychain -p. La password viene inoltre salvata in chiaro nel file di staging pwd e nella home dell’utente, nel percorso ~/.pwd.

Questo passaggio amplia l’impatto oltre il singolo browser. La compromissione della password locale può facilitare l’accesso al portachiavi e ad altre risorse protette del sistema.

Persistenza root e manipolazione di Chrome Safe Storage

Per sopravvivere ai riavvii, AmnesiaStealer installa un LaunchDaemon eseguito con privilegi root. Il nome imita un servizio Apple di crash reporting: com.apple.ReportCrash.agent, seguito da un suffisso numerico casuale.

La configurazione permette al malware di operare nell’account dell’utente console. Un LaunchDaemon con questa denominazione, soprattutto se comparso senza una modifica amministrativa riconoscibile, merita quindi una verifica immediata.

Su macOS 26 la minaccia può intervenire sulla chiave Chrome Safe Storage. Se non riesce a recuperarla attraverso le procedure consuete, la elimina e la sostituisce con una chiave già nota all’attaccante.

Questo consente di decifrare password e cookie raccolti successivamente. L’azione ha però anche un effetto distruttivo: i dati precedentemente memorizzati possono diventare inaccessibili.

Il comportamento non è quindi soltanto orientato al furto. Può modificare lo stato di protezione del browser e compromettere la disponibilità delle informazioni già salvate.

Un’infrastruttura predisposta per campagne diverse

Il backend di comando e controllo è denominato Amnesia Panel e si trova nella root del dominio impiegato per la distribuzione. Quando l’autenticazione fallisce, il pannello restituisce messaggi di errore in lingua russa.

L’analisi ha individuato lo schema URL:

/d/command?t=token&b=build

Lo stesso schema compare su più domini risolti allo stesso indirizzo IP. Il comportamento è compatibile con un builder capace di generare configurazioni diverse per ogni campagna e inserirle nel payload.

Le configurazioni vengono incorporate come blob cifrati tramite XOR. Il nome della famiglia, i messaggi in russo, le pagine-esca condivise e il riutilizzo dell’infrastruttura indicano un’attività organizzata, non una semplice prova isolata.

Non è noto se AmnesiaStealer sia stato inserito nel catalogo KEV della CISA, né risultano nel quadro disponibile informazioni su una relativa scadenza di remediation. Non è quindi possibile trattarlo, sulla base dei dati disponibili, come una vulnerabilità catalogata per sfruttamento attivo: si tratta di malware distribuito attraverso ingegneria sociale.

Cosa controllare su un Mac sospetto

Il primo indicatore è una pagina GitHub che chiede di incollare comandi nel Terminale. Un progetto legittimo può fornire istruzioni da riga di comando, ma una richiesta presentata come alternativa obbligatoria al download deve essere verificata prima dell’esecuzione.

Vanno controllati anche:

• finestre macOS che richiedono la password con un aspetto simile a un dialogo d’installazione;
• uso anomalo di dscl, sudo -S e security unlock-keychain;
• presenza dei file pwd e ~/.pwd;
• LaunchDaemon denominati in modo simile a com.apple.ReportCrash.agent;
• cancellazione e ricreazione delle voci Chrome Safe Storage tramite security;
• sessioni headless e chiamate insolite al Chrome DevTools Protocol;
• domini diversi che condividono lo schema /d/command?t=token&b=build e lo stesso indirizzo di risoluzione.

Chi ha eseguito il comando della pagina-esca dovrebbe isolare il Mac dalla rete e cambiare le credenziali da un dispositivo considerato affidabile. Le password del browser e le sessioni attive vanno considerate esposte; per questo è necessario revocare le sessioni, rigenerare i token ove possibile e verificare l’accesso a posta, messaggistica, servizi cloud e wallet.

Il brief non indica un singolo aggiornamento software capace di correggere l’infezione. La difesa principale consiste nell’evitare l’esecuzione di comandi copiati da pagine web, controllare i meccanismi di persistenza e cercare gli indicatori tecnici lasciati dal malware.