AmnesiaStealer: macOS-Infostealer kapert Chromium-Sitzungen per Live-Remote-Control

LONDON (IT BOLTWISE) – AmnesiaStealer ist ein Rust-basierter macOS-Infostealer, der Chromium-Browser entführt und damit Cookies sowie eingeloggte Sitzungen ausliest. Der Angriff startet über eine gefälschte GitHub-Downloadseite mit dem Social-Engineering-Schritt „Copy & Paste“ in das Terminal. Laut Jamf Threat Labs folgt anschließend eine mehrstufige Kette, die bis in ein interaktives Fernbedienen des Browsers über das Chrome DevTools Protocol (CDP) reicht. Damit steigt die Zugriffstiefe deutlich gegenüber klassischen Cookie-Grabbern, weil die Session live aus der Opferumgebung gesteuert wird.

Wenn ein macOS-Infostealer nicht nur Daten sammelt, sondern den Browser des Opfers zusätzlich live fernsteuert, verändert das die Angriffsdynamik erheblich. Genau das ordnen Sicherheitsforscher dem neuen Rust-basierten Stealer AmnesiaStealer zu: Er soll Chromium-family Browser wie Google Chrome, Brave, Arc oder Microsoft Edge so „hijacken“, dass Angreifer in authentischen Sitzungen operieren können. Besonders relevant ist dabei der Wechsel vom reinen „Datei- und Cookie-Diebstahl“ hin zu einer hands-on-keyboard-ähnlichen Bedienung, weil dadurch auch Interaktionen möglich werden, die über das Auslesen statischer Artefakte hinausgehen.

Die Infektion beginnt nach den beschriebenen Abläufen mit einer mehrstufigen Social-Engineering-Strategie. Eine gefälschte Downloadseite im Stil eines ClickFix-Lures soll Nutzer dazu bringen, eine Base64-kodierte Kommandozeile in die Terminal-App zu kopieren. Angeblich wird das Ganze als „Download for macOS“ getarnt und führt über eine Dropper-Logik zu weiteren Komponenten, die aus einem entfernten Server nachgeladen werden. Jamf Threat Labs ordnet das Verhalten in drei Phasen ein: „The first is a shell script that downloads and launches the payload, “ erklärte der Security Researcher Thijs Xhaflaire. „The second is a Rust infostealer that harvests the Keychain, browsers, Apple Notes, and Telegram. The third is a stream_module, fetched on command, that gives the operator hidden, interactive control of the victim’s browser.“

Technisch fällt auf, wie gezielt AmnesiaStealer Zugriffsdaten und Plattform-spezifische Speichermechanismen zusammenführt. Die erste Stufe holt eine Passwort-geschützte ZIP-Datei, entpackt darin die erste Mach-O-Binary und verwendet eine in die Konfiguration eingebettete, verschlüsselte Steuerdatei, die sich bereits auf Builder-Ebene anpassen lässt, ohne dass der Code geändert werden muss. Danach folgt die Rust-Phase mit konkreten Zielen wie Keychain, Apple Notes und Telegram. Der Stealer baut zudem einen eigenen „Passwort-Einstieg“ ein: Er fordert das Systempasswort unter dem Deckmantel eines Installers an, validiert es über dscl gegen den lokalen Directory-Dienst und führt eine Schleife aus, die bei falscher Eingabe mit „Incorrect password. Please try again.“ weitermacht.

Damit schafft der Angreifer die Grundlage für Folgeaktionen mit erhöhter Berechtigung. Laut Jamf wird das abgegriffene Passwort im weiteren Verlauf mehrfach wiederverwendet: Es soll in sudo -S für privilegierte Reads eingespeist werden, in security unlock-keychain -p zur Freischaltung verwendet werden und anschließend in Klartext auf die Platte geschrieben werden – sowohl in einem Staging-Verzeichnis als auch im Home-Verzeichnis als ~/.pwd. Nebenbei soll eine Fallback-Strategie via AppleScript den Ablauf anstoßen, falls die native Passwortabfrage scheitert; in Jams Host-Angaben funktionierte jedoch der native Pfad, wodurch kein osascript-Prompt ausgelöst wurde. Für den praktischen Verteidigungsblick ist das ein Warnsignal, weil Klartext-Schreibzugriffe auf Disk gerade bei Passwortmaterial selten „nur Zufall“ sind und sich in Forensik-Logs bzw. File-Events nachweisen lassen.

Den Kern-Unterschied gegenüber vielen anderen Stealern sieht Jamf in der zusätzlichen Remote-Control-Stufe. Diese zweite Stufe soll per C2-„remote_stream“-Befehl nachgeladen werden und dann interaktive Kontrolle über das Chrome DevTools Protocol (CDP) ermöglichen. In headless gestartetem Modus wird nicht nur Browserzustand abgegriffen, sondern über einen WebSocket-Relay-Kanal Operator-Kommandos empfangen, in Echtzeit in CDP-Aufrufe übersetzt und mit Statusmeldungen an denselben Endpoint zurückgespiegelt. Der Operator soll dabei einen Live-Screencast mit ungefähr 3 fps erhalten und das Browserverhalten mit vollem Input-Set steuern können: Tastatur, Maus, Scrollen, Navigation und Tab-Management. „These are translated into CDP calls against the headless browser in real time. This is a hands-on-keyboard hidden browser session, not an automated dump, “ heißt es in der Beschreibung. „In effect, the remote_stream command turns an infected host into a live, operator-driven browser running the victim’s authenticated sessions, which is a materially different level of access from file collection.“

Auch die Umgehung von Headless-Erkennung wird als Teil dieser „Live“-Fähigkeit dargestellt. Um zu vermeiden, dass besuchte Websites die Abwesenheit typischer Interaktionsmuster oder Browser-Fingerprints als Automation einstufen, injiziert das Modul Scripts, die mehrere Browser-Fingerprinting-APIs patchen. Gleichzeitig setzt AmnesiaStealer bei der Breite der erfassten Browser- und Systemartefakte stark auf Chromium- und Apple-Ökosysteme: Aus Chromium-Familien werden Cookies, Login-Daten, Historie, Bookmarks und die „Local State“-Struktur samt Extensions-Verzeichnis ausgelesen; zusätzlich soll Chrome Safe Storage Password aus der Keychain helfen, Master-Keys für die Sicherung von Daten im Profilordner zu rekonstruieren. Auf Safari-Seite wird nach Angaben ein TCC-Bypass über die CVE-2020-9771 erwähnt, wobei bei neueren macOS-Varianten offenbar Einschränkungen greifen, wenn kein Full Disk Access vorliegt.

Für den operativen Einsatz ist außerdem relevant, wie sich AmnesiaStealer im System verankert und wie es die gesammelten Daten überträgt. Laut Beschreibung persistiert die Malware mit einem Root-LaunchDaemon, der sich als Apple-Crash-Reporting-Dienst ausgeben soll. Gesammelte Daten landen in einem Verzeichnis unter /tmp, das nach dem Muster von 25 zufälligen alphanumerischen Zeichen benannt ist; anschließend wird archiviert und exfiltriert. Auffällig ist zudem der Name „AmnesiaStealer“, der sich aus einer Login-Seite am Root des C2-Hosts („Amnesia Panel“) ableitet; ein fehlgeschlagener Login soll eine Fehlermeldung auf Russisch ausgeben und Nutzer zu korrekten Anmeldedaten auffordern. Am Ende bleibt die zentrale Erkenntnis: Weil AmnesiaStealer weniger wie ein „Schnappschuss-Tool“, sondern eher wie ein operativ bedienbares Browser-Zugriffsmodul funktioniert, steigt für Organisationen der Bedarf an Erkennung auch in Richtung Prozessverhalten, ungewöhnliche Terminal-Kommandos und auffällige CDP-/Headless-Aktivitäten.

💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!

🤖 Alle KI-Gadgets auf Amazon ansehen!

152 Bewertungen

Sense Robot Go KI-Go-Brett mit Roboterarm – Automatische Steinplatzierung, interaktives Lernen, Spielwiederholung – Intelligenter Weiqi-Trainer für Kinder & Erwachsene

• ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.

Bei Amazon entdecken

334 Bewertungen

ENERGIZE LAB Eiliko Coral Pink - Ihr winziger KI-Charm-Roboter, der zu jedem täglichen Outfit passt, lustiges elektronisches Anhängerspielzeug, für Paare und beste Freunde

• IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.

79,90 EUR

Bei Amazon entdecken

1.501 Bewertungen

Eilik – Interaktiver Desktop Roboter mit Persönlichkeit, lebendigen Animationen & Reaktionen, Touch-Steuerung, Mini-Spiele, emotionaler Roboter Freund und besonderes Geschenk für Kinder & Erwachsene

• 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.

159,90 EUR

Bei Amazon entdecken

53 Bewertungen

Plantbot Upgraded Large Smart Flower Pot Pet Planter Robot with Artificial Intelligence, Time Temperature Display, and Numerous Expressive Animations Based, for Indoor Decoration, Gifts (White)

• 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.

Bei Amazon entdecken

946 Bewertungen

Loona KEYI Premium Haustier-Roboter mit Ladestation (Smarte AI ChatGPT-4o, Stimmen- & Gestensteuerung, Echtzeit-Interaktion, Heimüberwachung)

• V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.

549,00 EUR

Bei Amazon entdecken

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note Pro KI-Diktiergerät für Notizen & Zusammenfassung (Schwarz)

174,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

OOONO Co-Driver NO2 Schwarz- Optimierter Co-Driver fürs Auto - Warnt vor Tempo-Kontrollen und Gefahrenstellen – Wiederaufladbar – LED-Anzeige – CarPlay & Android Auto kompatibel

60,00 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

TOSY Flying Disc – 108 RGB-LEDs mit 16 Mio. Farben, sehr hell, Smart-Modi, Auto-Aufleuchten, wiederaufladbar, wasserdicht, Outdoor-Spielzeug für Kinder & Erwachsene, 175 g

34,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KEZKALS Geschenke für Männer, 2pack-9 IN 1 Kugelschreiber, Männergeschenke

10,97 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder KI-Diktiergerät für Profis & Teams (Grau)

169,90 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!