New AmnesiaStealer macOS malware hijacks browser sessions via remote control

AmnesiaStealer : Un malware macOS capable de contrôle distant des sessions web

AmnesiaStealer est un nouveau logiciel malveillant pour macOS qui va au-delà du simple vol de données. Il permet aux attaquants de prendre le contrôle interactif du navigateur de la victime en exploitant le profil Chromium de l’utilisateur pour lancer des instances invisibles (headless) du navigateur, tout en conservant les sessions authentifiées.

Points clés :

• Méthode d’infection : Distribution via des campagnes “ClickFix” sur de fausses pages de téléchargement GitHub. L’utilisateur est incité à exécuter un script shell qui installe une archive protégée par mot de passe.
• Module de contrôle distant : Le composant stream_module utilise le protocole Chrome DevTools Protocol (CDP) pour permettre à l’attaquant de naviguer, cliquer et interagir en direct (via un flux vidéo à 3 i/s) sur le navigateur de la victime, comme s’il était physiquement devant l’ordinateur.
• Données visées : Identifiants, cookies, portefeuilles de cryptomonnaies, Apple Notes, documents, données du trousseau d’accès et historique de 16 navigateurs basés sur Chromium.
• Persistance et contournement : Le malware utilise le mot de passe administrateur récupéré pour déverrouiller le trousseau d’accès. Sur les versions récentes de macOS, il peut injecter ses propres clés de chiffrement pour accéder aux données du navigateur.

Vulnérabilités exploitées :

• Bien qu’aucune CVE spécifique ne soit citée, le malware détourne le Chrome DevTools Protocol (CDP), un outil légitime destiné au débogage et à l’automatisation, pour détourner les sessions authentifiées et piloter le navigateur à distance.

Recommandations :

• Vigilance accrue : Ne jamais copier et exécuter des commandes dans le Terminal suggérées par des sites web suspects ou des fenêtres contextuelles (ClickFix).
• Méfiance envers les téléchargements : Éviter les archives protégées par mot de passe provenant de sources non officielles ou de GitHub non vérifiés.
• Hygiène numérique : Utiliser des solutions de sécurité capables de détecter les comportements anormaux au niveau du système et de surveiller les processus lancés en mode “headless”.

Source