Jamf Threat Labs zveřejnili 13. srpna 2026 analýzu nového macOS infostealeru s jménem AmnesiaStealer. Napsaný v Rustu, cílený výhradně na Mac, a co je zajímavé – nekončí u jednorázového vytažení hesel. Poslední fáze útoku dává operátorovi živé, skryté ovládání oběťina prohlížeče v reálném čase.
Jak se AmnesiaStealer dostane k oběti
Klasický ClickFix. Útočníci si postavili falešnou stránku na doméně github.aoitour[.]com, která téměř dokonale napodobuje tmavý motiv GitHubu, včetně Octocat loga a odznaku „Verified Publisher“. Místo skutečného stažení ale stránka zobrazí box „Terminal installation“ s jedním tlačítkem na zkopírování příkazu a instrukcemi: otevři Terminal, vlož příkaz, stiskni Enter, zadej heslo.
Tahle technika není nová – stejný playbook používají i jiné rodiny jako Atomic (AMOS) nebo MacSync. Ukazuje to, že útočné skupiny recyklují stejnou šablonu napříč kampaněmi, protože prostě funguje.
Tři fáze útoku AmnesiaStealer
1. Shell skript – po vložení příkazu potichu stáhne ZIP archiv chráněný heslem, extrahuje maskovaný binární soubor do /tmp, strhne mu Apple quarantine flag, spustí payload a sám se smaže.
2. Rust infostealer – hlavní sběrač. Provede recon a geolokaci stroje, pak zobrazí falešný nativní password prompt maskovaný jako instalátor. Zadané heslo ověřuje přes dscl proti lokální directory service – pokud je špatně, opakuje dialog „Incorrect password. Please try again.“, dokud oběť nezadá to správné. Ukradené heslo pak recykluje po celém řetězci: sudo -S pro privilegovaný přístup, security unlock-keychain -p na Keychain, a nakonec ho i zapíše v cleartextu na disk (pwd ve stagingu a ~/.pwd v domovské složce).
S tímto heslem pak stahuje:
- Keychain, Apple Notes, Telegram session
- 16 chromium-based prohlížečů (Chrome, Brave, Arc, Edge…) – cookies, uložená hesla, historii, záložky, extensions
- Safari cookies přes starou TCC bezpečnostní díru (CVE-2020-9771)
- soubory podle přípony (.txt, .pdf, .doc, .wallet, .key, .jpg, .png, .csv) z Desktopu, Dokumentů a Downloads
- volitelně krypto peněženky přes clipper modul (BTC, BCH, ETH, TRON, LTC, XMR, SOL, XRP, ATOM)
Konfigurace je řešená přes builder – C2 endpoint, zapnutí/vypnutí clipperu apod. se nastavuje bez zásahu do kódu. Vestavěná konfigurace je navíc zašifrovaná a odemyká se klíčem 4mn3s1a_2o26!xK.
Perzistenci si malware zajišťuje přes root LaunchDaemon, který se vydává za Apple crash reporting službu.
3. stream_module – nejzajímavější a nejnebezpečnější kus skládačky. Dotahuje se jen na příkaz operátora (remote_stream), spustí druhý Rust binárku, klonuje profil oběťina prohlížeče a pustí ho headless. Napojí se na Chrome DevTools Protocol a přes WebSocket relay dá operátorovi:
- živý screencast session (~3 fps)
- plnou kontrolu – klávesnice, myš, scroll, navigace, správa tabů
Aby headless session nevypadala jako bot, modul si patchuje browser fingerprinting API, takže weby ho nevyhodnotí jako automatizaci. Výsledek: útočník sedí „za klávesnicí“ oběťina prohlížeče a jede po jejích přihlášených účtech – bance, mailu, sociálních sítích – aniž by se na obrazovce oběti cokoliv změnilo.
Zajímavá slabina AmnesiaStealer
Část bypassů, které AmnesiaStealer používá (např. bypass přes APFS snapshot z roku 2020), je na aktuálním macOS 26 už dávno záplatovaná. Malware to sám loguje jako selhání ve vlastních debug stringách – útočníci tedy vezou kód, který funguje jen na starších/nezáplatovaných systémech. Krádež hesla a browser session ale funguje bez ohledu na to, takže to nijak zásadně nesnižuje reálné riziko.
Odkud má AmnesiaStealer jméno
AmnesiaStealer se jmenuje po admin panelu, na který se hlásí – „Amnesia Panel“. Při neúspěšném loginu vrací chybovou hlášku v ruštině.
Poučení z případu AmnesiaStealer
Nic nového pod sluncem, ale o to důležitější připomínka: ClickFix funguje, protože obchází veškerou technickou ochranu tím, že prostě přesvědčí uživatele, aby si to udělal sám. Žádný příkaz z neznámého zdroje nekopírovat do Terminálu – obzvlášť ne z „instalačních“ stránek, které vás k tomu navádí. Password prompt vyskakující v kontextu instalace softwaru je dnes prakticky vždycky red flag.
Zdroje
- Jamf Threat Labs: AmnesiaStealer – A New macOS Infostealer Uses ClickFix
- The Hacker News: AmnesiaStealer Hijacks Chromium Browsers
- Cyber Security News: AmnesiaStealer macOS Malware
