Jamf Threat Labs hat eine Mac-Malware namens AmnesiaStealer analysiert, die sensible Daten stiehlt und versteckte, fernsteuerbare Kopien von Safari- und Chromium-Browsern startet. So können Angreifer auf bereits entsperrte Accounts zugreifen, ohne dass Betroffene es im Browser-Fenster bemerken.
Dreistufiger Angriff über gefälschte GitHub-Seite
AmnesiaStealer wurde von Jamf in freier Wildbahn als dreistufige Infektion beobachtet. Der Angriff startet auf einer Website, die wie GitHub gestaltet ist – inklusive Dark Mode, Octocat-Logo und „Verified Publisher“-Badge –, aber nicht auf einer echten GitHub-Domain liegt. Anstatt einen normalen Mac-Download anzubieten, zeigt die Seite ein Terminal-Kästchen mit Anweisungen, einen Befehl zu kopieren, Spotlight zu öffnen, Terminal zu starten und den Befehl einzufügen. Jamf ordnet das als weiteren ClickFix-Angriff ein, bei dem die Opfer den Schadcode selbst ausführen.
Der kopierte Text dekodiert in einen Befehl, der ein Shell-Skript von einem angreiferkontrollierten Server startet. Dieses Skript lädt eine passwortgeschützte ZIP-Datei, entpackt die Malware unter einem Apple-ähnlichen Namen, versteckt sie und führt sie im Hintergrund aus. Der Loader entfernt dabei die macOS-Quarantäne-Metadaten und versieht die Datei mit einer Ad-hoc-Signatur, die keine Entwickleridentität enthält und keine Apple-Notarisierung bedeutet.
Die erste Stufe ist ein universelles Mach-O-Binary in Rust mit nativer Unterstützung für Intel- und Apple-Silicon-Macs. Eine verschlüsselte Konfiguration enthält unter anderem eine Build-ID der Kampagne, die Adressen der Command-and-Control-Server und den Text der Passwortabfrage. AmnesiaStealer blendet eine native macOS-Dialogbox mit dem Titel „Installer“ und einem System-Einstellungen-ähnlichen Icon ein. Ein falsches Passwort ruft den Dialog erneut auf, ein korrektes Kennwort ermöglicht – bei Administrator-Accounts – privilegierte Befehle. Jamf verweist darauf, dass ähnliche Passwortprüfungen bereits bei anderen Stealern dokumentiert wurden. Das Passwort nutzt AmnesiaStealer, um den Login-Schlüsselbund zu entsperren, sudo-Befehle abzusetzen und legt es zusätzlich im Home-Verzeichnis im Klartext ab.
Versteckte Browser-Sitzungen und umfangreicher Datendiebstahl
Der finale Payload geht über einmalige Datensammlung hinaus. Jamf konnte zeigen, dass AmnesiaStealer ein Chromium-Profil klont und ohne sichtbares Fenster startet. Ein:e Operator:in kann diesen versteckten Browser mit Live-Tastatur- und Maus-Eingaben steuern, während die Malware entschlüsselte Cookies exportiert. Das Streaming-Modul wird nur nach einem entfernten Befehl an die erste Stufe nachgeladen. Die Rust-Komponente unterstützt Chrome, Brave, Microsoft Edge, Arc, Opera, Vivaldi und Chromium.
Statt den sichtbaren Browser zu übernehmen, kopiert das Modul das vorhandene Profil in ein verstecktes Verzeichnis und startet das echte Browser-Executable im Headless-Modus. Die Steuerung erfolgt über das Chrome DevTools Protocol, eine legitime Schnittstelle für Entwicklung und Automatisierung. Die Operator:innen sehen eine Live-Ansicht der versteckten Sitzung mit etwa drei Bildern pro Sekunde, inklusive Navigation, Tastatur-, Maus- und Tab-Steuerung.
Da ein authentifiziertes Profil genutzt wird, greift der Browser auf bereits entschlüsselte Cookies zu. Jamf ließ das Modul in Tests diese Cookies im Klartext exportieren und auch in fremde Browser-Profile einfügen, um Sitzungen wiederzuverwenden. Websites können solche Sitzungen zwar ablaufen lassen oder markieren, aber zusätzliche Passwort- oder MFA-Abfragen können entfallen. Ein Versuch, verschlüsselte Cookies direkt in Chromes Datenbank zu überschreiben, scheiterte auf macOS 26; der Export über den laufenden Browser funktionierte jedoch. Jamf baute nach einer Analyse des Kommunikationsprotokolls ein eigenes Relay, mit dem sich die Steuerung verifizieren ließ – das Modul blieb inaktiv, bis Befehle eintrafen.
Die erste Stufe sammelt parallel deutlich mehr als Browserdaten: Sie erfasst Hardwarekennungen, macOS-Version, installierte Apps und schätzt den Standort über die öffentliche IP-Adresse. AmnesiaStealer durchsucht Desktop-, Dokumente- und Downloads-Ordner nach potenziell wertvollen Dateien wie Dokumenten, Wallet-Dateien, Schlüsseln und Bildern. Hinzu kommen Apple Notes-Datenbanken mit Anhängen, Telegram-Sitzungsdaten sowie Login- und Data-Protection-Schlüsselbünde, deren Zweck Jamf nicht eindeutig bestimmen konnte.
Aus 16 Chromium-basierten Browsern werden bis zu vier Profile pro Browser ausgelesen, inklusive Cookies, gespeicherten Logins, Verlauf, Lesezeichen, Einstellungen und Erweiterungen. Bei Kryptowährungen beschränkt sich die Suche nicht auf bekannte Wallet-Erweiterungen, sondern umfasst mehrere Speicherorte für Extensions und Browserdaten, was auch neuere Wallets betreffen kann. Auf macOS 26 gibt es zudem eine Fallback-Methode, die „Chrome Safe Storage“-Passwörter ersetzt, wenn der ursprüngliche Schlüssel nicht wiederhergestellt werden kann. Jamf bezeichnet diese Variante als destruktiv, da ältere, damit verschlüsselte Daten unlesbar werden, während neue Inhalte mit einem Angreifer-bekannten Schlüssel gesichert werden. Sämtliche gestohlene Daten landen komprimiert in einem zufällig benannten temporären Verzeichnis, sortiert nach Browserdaten, Passwörtern, Wallets, Notizen, Telegram-Dateien, Dokumenten und Systeminformationen, bevor sie hochgeladen werden.
macOS-Schutzmechanismen und Empfehlungen für Betroffene
In der Analyse fanden sich mehrere Versuche, Safari-Cookies auszulesen. AmnesiaStealer enthält vier Wege, darunter direkte Zugriffe, Finder-Duplikation, privilegierte Dateikopie und eine APFS-Snapshot-Technik. Auf macOS 26 übersprang das Sample die ersten drei Routen und versuchte direkt den Snapshot, erhielt dabei aber keine Safari-Cookies. Jamf führt den Ansatz auf eine Teilwiederverwendung von CVE-2020-9771 zurück, einer 2020 behobenen Schwachstelle, bei der Apple in macOS Catalina 10.15.4 und 10.15.5 Snapshot-Zugriffe an „Full Disk Access“ koppelte. Root-Rechte allein genügen seitdem nicht mehr.
Manuell konnten die Forschenden die geschützten Dateien in einem Terminal mit bereits gewährtem Vollzugriff weiterhin lesen; AmnesiaStealer konnte sich diese Berechtigung aber nicht eigenständig verschaffen. Ein weiterer Ansatz, die TCC-Datenbank zu manipulieren und sich selbst „Full Disk Access“ zu geben, scheiterte an Kernel-Schutzmechanismen. Debug-Ausgaben der Malware dokumentierten diesen Fehlschlag. Jamf wertet die gescheiterten Umgehungen als Beleg dafür, dass aktuelle macOS-Schutzmechanismen an diesen Stellen greifen – der Kerndatendiebstahl funktionierte allerdings weiterhin, sobald ein gültiges Passwort eingegeben und der Schadcode ausgeführt wurde.
AmnesiaStealer kann über diese Kampagne nur aktiv werden, wenn jemand den Terminal-Befehl tatsächlich ausführt. Seriöse Downloads, CAPTCHAs oder Verifizierungsseiten fordern nicht dazu auf, Terminal zu öffnen und Befehle von einer Website zu starten. Jamf empfiehlt, Software ausschließlich aus dem Mac App Store oder von offiziellen Entwicklerseiten zu laden und die Adresse vor der Ausführung eines Installers sorgfältig zu prüfen. Fordert unbekannte Software sofort ein Administrator-Passwort an, sollte Ihr den Vorgang abbrechen und die Anwendung schließen. macOS-Updates sind laut Jamf weiterhin wichtig, da mehrere in AmnesiaStealer enthaltene Bypass-Techniken inzwischen blockiert werden – sie machen jedoch keinen aus dem Web kopierten Terminal-Befehl sicher.
Wer einen solchen Befehl bereits ausgeführt hat, sollte den betroffenen Mac vom Netzwerk trennen und nicht mehr für sensible Konten nutzen. Auf Arbeitsrechnern rät Jamf, die IT- oder Security-Abteilung zu informieren, statt einzelne Dateien zu löschen. Passwörter und aktive Sitzungen kritischer Dienste wie E-Mail, Finanz- oder Krypto-Anwendungen sollten von einem vertrauenswürdigen Gerät aus geändert bzw. abgemeldet werden. Da eine Passwortänderung nicht zwangsläufig alle Sitzungen beendet, empfiehlt sich ein Blick in die Sicherheits- und Aktivitätseinstellungen der jeweiligen Dienste, um andere Browser und Geräte explizit abzumelden. Nach einer Bereinigung oder Neuinstallation von macOS sollten sowohl das Mac-Login als auch alle Konten mit demselben Passwort geändert werden; bei betroffenen Kryptowallets kann ein Austausch nötig sein, wenn Private Keys oder Recovery Phrases auf dem kompromittierten Mac gespeichert waren. Jamf betont, dass nur eine komplette Neuinstallation von macOS zuverlässig ist, wenn keine umfassende forensische Überprüfung möglich ist – das Löschen einzelner Skripte reicht dafür nicht aus.
Hinweis: Dieser Beitrag ist eine automatisch erstellte Zusammenfassung mithilfe von Künstlicher Intelligenz. Eine redaktionelle Prüfung fand nicht statt.
Via: appleinsider.com
