Wprowadzenie do problemu / definicja
AmnesiaStealer to nowy infostealer ukierunkowany na system macOS, którego możliwości wykraczają poza klasyczną kradzież haseł, plików i cookies. Najgroźniejszą cechą tego malware jest zdolność do przejęcia aktywnych, już uwierzytelnionych sesji przeglądarki, co pozwala operatorowi działać w kontekście ofiary bez konieczności ponownego logowania.
Taki model ataku zmienia charakter zagrożenia. Zamiast ograniczać się do jednorazowej eksfiltracji danych, złośliwe oprogramowanie zapewnia napastnikowi interaktywny dostęp do sesji użytkownika, co może utrudniać wykrycie i zwiększać skuteczność nadużyć.
W skrócie
- AmnesiaStealer atakuje użytkowników macOS i rozprzestrzenia się m.in. przez kampanie typu ClickFix.
- Malware kradnie dane z przeglądarek Chromium, Keychain, dokumentów, komunikatorów i portfeli kryptowalutowych.
- Najważniejszy moduł umożliwia sklonowanie profilu przeglądarki i zdalne sterowanie aktywną sesją.
- Atakujący może wykonywać działania w legalnym, już uwierzytelnionym kontekście ofiary.
- Samo MFA może nie wystarczyć, jeśli sesja została wcześniej ustanowiona i przejęta na zainfekowanym urządzeniu.
Kontekst / historia
Ekosystem stealerów dla macOS rozwija się dynamicznie od kilku lat, a cyberprzestępcy stale dostosowują metody dystrybucji i unikania detekcji. Coraz częściej wykorzystywana jest socjotechnika ClickFix, w której ofiara zostaje nakłoniona do samodzielnego uruchomienia polecenia lub skryptu pod pozorem rozwiązania problemu technicznego.
Na tym tle AmnesiaStealer wyróżnia się przejściem od klasycznego malware eksfiltrującego dane do narzędzia zapewniającego bieżący dostęp operacyjny. To jakościowa zmiana, ponieważ napastnik nie musi już odtwarzać przejętego środowiska po swojej stronie — może po prostu używać sesji ofiary na jej własnym urządzeniu.
Analiza techniczna
Łańcuch infekcji rozpoczyna się zwykle od przynęty ClickFix oraz dostarczenia archiwum chronionego hasłem, zawierającego właściwy ładunek dla macOS w formacie Mach-O. Po uruchomieniu malware próbuje pozyskać hasło użytkownika, co może otworzyć drogę do danych dodatkowo chronionych lokalnie, w tym informacji przechowywanych w Keychain.
Po stronie zbierania danych AmnesiaStealer koncentruje się na przeglądarkach opartych na Chromium. Zdolności malware obejmują kradzież cookies, zapisanych loginów, historii przeglądania, zakładek, rozszerzeń oraz innych artefaktów profilu. Dodatkowo złośliwe oprogramowanie analizuje rozszerzenia i zasoby IndexedDB, aby identyfikować portfele kryptowalutowe oraz powiązane z nimi dane.
Najbardziej zaawansowanym elementem jest moduł zdalnego sterowania przeglądarką. Mechanizm ten kopiuje profil ofiary, a następnie uruchamia legalny plik binarny przeglądarki w trybie headless z parametrami osłabiającymi część natywnych zabezpieczeń. Malware zestawia komunikację z infrastrukturą operatora przez WebSocket oraz wykorzystuje interfejs debugowania przeglądarki do uzyskania kontroli nad lokalną instancją.
W praktyce daje to dostęp do mechanizmów automatyzacji podobnych do Chrome DevTools Protocol. Dzięki temu operator może wykonywać na przejętej sesji działania takie jak nawigacja po stronach, kliknięcia, przewijanie, użycie klawiatury, zarządzanie kartami, a także import i eksport cookies. To sprawia, że zainfekowany Mac staje się pośrednikiem do operowania na aktywnej sesji użytkownika.
Istotne jest również to, że podobne podejście może działać wobec wielu przeglądarek opartych na Chromium. W środowiskach firmowych zwiększa to skalę ryzyka, ponieważ użytkownicy często korzystają z różnych wariantów przeglądarek bazujących na tym samym silniku.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem działania AmnesiaStealer jest możliwość przejęcia aktywnych sesji do usług SaaS, poczty, paneli administracyjnych, systemów finansowych oraz aplikacji wewnętrznych. Jeśli sesja została już uwierzytelniona, tradycyjne zabezpieczenia oparte na haśle i MFA mogą okazać się niewystarczające.
Taki scenariusz otwiera drogę do przejęcia kont, kradzieży danych biznesowych, nadużyć finansowych oraz działań wykonywanych pozornie przez legalnego użytkownika. Z perspektywy SOC i zespołów reagowania incydent może być trudniejszy do wykrycia niż klasyczne logowanie z podejrzanej lokalizacji, ponieważ aktywność odbywa się na prawidłowym urządzeniu ofiary.
Dodatkowe zagrożenie wynika z szerokiego zakresu kradzionych danych lokalnych. Kompromitacja Keychain, dokumentów, notatek, sesji komunikatorów czy danych portfeli kryptowalutowych może prowadzić do długotrwałego naruszenia bezpieczeństwa użytkownika i jego organizacji, a w niektórych przypadkach także do dalszego ruchu bocznego w infrastrukturze.
Rekomendacje
Podstawą ograniczania ryzyka jest redukcja skuteczności kampanii ClickFix. Organizacje powinny jasno zabronić uruchamiania poleceń w Terminalu oraz skryptów pochodzących z niezweryfikowanych źródeł bez autoryzacji działu IT. Kluczowe znaczenie mają również szkolenia użytkowników, koncentrujące się na rozpoznawaniu socjotechniki i fałszywych stron pobierania.
W warstwie technicznej warto monitorować:
- uruchomienia przeglądarek Chromium w trybie headless,
- nietypowe flagi startowe procesów przeglądarek,
- aktywność WebSocket powiązaną z procesami przeglądarkowymi,
- kopiowanie katalogów profili użytkowników,
- dostęp do Keychain i masową enumerację rozszerzeń,
- nietypowe użycie interfejsów debugowania przeglądarki.
Organizacje zarządzające flotą Maców powinny egzekwować zasadę najmniejszych uprawnień, ograniczać lokalne uprawnienia administracyjne i rozwijać telemetrykę endpointów. Warto także wdrożyć dodatkowe zabezpieczenia dla krytycznych aplikacji, takie jak krótszy czas życia sesji, częstsza reautoryzacja przy operacjach wysokiego ryzyka oraz analiza behawioralna aktywności w przeglądarce.
W przypadku wykrycia infekcji nie należy ograniczać się do resetu haseł. Konieczne jest również unieważnienie aktywnych sesji, odwołanie tokenów, wymuszenie ponownego logowania do kluczowych usług oraz analiza integralności przeglądarek i danych przechowywanych lokalnie.
Podsumowanie
AmnesiaStealer pokazuje, że nowoczesne malware dla macOS coraz częściej łączy klasyczną kradzież danych z funkcjami umożliwiającymi zdalną kontrolę operacyjną. Przejęcie aktywnej sesji przeglądarki znacząco podnosi poziom zagrożenia, ponieważ napastnik może działać w legalnym, już uwierzytelnionym kontekście użytkownika.
Dla obrońców oznacza to potrzebę rozszerzenia monitoringu poza same logowania i poświadczenia. Coraz większe znaczenie ma obserwacja zachowania sesji, procesów przeglądarkowych oraz nadużyć funkcji automatyzacji dostępnych natywnie w nowoczesnych przeglądarkach.
Źródła
- https://www.bleepingcomputer.com/news/security/new-amnesiastealer-macos-malware-hijacks-browser-sessions-via-remote-control/
- https://www.jamf.com/blog/clickfix-macos-script-editor-atomic-stealer/
- https://www.jamf.com/blog/