In questo articolo Indice dei contenuti 2 sezioni
Chi usa un Mac e si è convinto che macOS sia un’isola felice farebbe bene a segnarsi questo nome: AmnesiaStealer. Si tratta di un malware scritto in linguaggio Rust che punta ai dati di navigazione e alle credenziali salvate, ma con una particolarità che lo rende più fastidioso della media: oltre a rubare file riservati, permette a un operatore remoto di prendere il controllo delle sessioni web già autenticate. In pratica non serve nemmeno la password, basta entrare da una porta che è rimasta aperta.
La scoperta arriva dagli specialisti di Jamf, che hanno tracciato la distribuzione del codice malevolo attraverso finte pagine di download ospitate su GitHub. Lo schema è quello ormai collaudato del ClickFix: la vittima viene convinta a incollare ed eseguire un comando nel Terminale, gesto apparentemente innocuo che invece avvia il download di un archivio ZIP protetto da password. Da lì lo script estrae un eseguibile, compare una finestra di installazione contraffatta e la richiesta della password di amministratore fa il resto del lavoro.
Cosa raccoglie AmnesiaStealer una volta dentro il sistema
Ottenuti i privilegi, il bottino diventa consistente. Il programma mette le mani sul portachiavi di accesso, sulle note di Apple, sui documenti personali e sui database di sedici browser basati su Chromium. Anche Telegram finisce nel mirino, con una selezione mirata delle directory degli account e un filtro sulle cartelle secondarie per rendere l’estrazione più rapida. Meno dati inutili da portare via, meno tempo passato sul sistema, meno probabilità di essere notati.
Per aggirare le protezioni di macOS, il malware tenta di sfruttare una vulnerabilità legata agli snapshot dei dischi locali APFS. Questa strada però si chiude su macOS 26, dove il tentativo fallisce a meno che l’applicazione di comando non disponga già di un accesso completo al disco. Un limite che non ferma AmnesiaStealer, semplicemente lo costringe a cambiare tattica.
Ed è qui che la cosa diventa curiosa. Quando il recupero della chiave di cifratura del browser non va a buon fine, entra in azione un meccanismo alternativo piuttosto brutale: la chiave originale nel portachiavi viene cancellata e sostituita con una password codificata dall’attaccante. Il risultato è doppio. Password e cookie salvati in precedenza diventano illeggibili per il legittimo proprietario del computer, mentre tutti i dati registrati da quel momento in poi risultano perfettamente decifrabili per chi ha condotto l’attacco. Il nome del malware, a pensarci, non è casuale.
Il modulo che trasforma il browser in una finestra spalancata
L’elemento che distingue davvero questa minaccia si chiama stream_module. Il sottoprogramma duplica il profilo del browser della vittima e lo avvia in background, senza interfaccia visuale, in modalità headless. Attraverso il Chrome DevTools Protocol apre poi un canale di comunicazione WebSocket con il server di controllo. A quel punto l’operatore remoto riceve un flusso video dello schermo a 3 fotogrammi al secondo e trasmette in tempo reale i propri comandi di tastiera e mouse.
Tre fotogrammi al secondo non sono un’esperienza da gaming, ma sono più che sufficienti per muoversi dentro una casella di posta, una banca online o un account social. E soprattutto, poiché la sessione risulta già autenticata sul dispositivo legittimo, nessun avviso di sicurezza viene generato: niente notifiche di accesso da un nuovo dispositivo, niente richieste di verifica in due passaggi. Il traffico parte dal computer della vittima, dunque agli occhi dei servizi online sembra tutto perfettamente normale.
Un dato citato nell’analisi rende bene l’idea del problema: solo il 37% delle azioni malevole viene bloccato quando gli attaccanti dispongono di credenziali valide. Le difese tradizionali, tarate per riconoscere intrusioni e tentativi di forzatura, faticano parecchio a distinguere un accesso legittimo da uno che sfrutta un’identità rubata. Il furto delle credenziali, in questo senso, resta la scorciatoia preferita: AmnesiaStealer la percorre fino in fondo e poi si accomoda nel browser.
