AmnesiaStealer nhắm vào phiên Chromium trên macOS
"Researchers disclosed AmnesiaStealer, a Rust-based macOS infostealer distributed through a fake GitHub "Download for macOS" page and ClickFix-style lure. The malware steals Keychain, browser, Apple Notes, Telegram, and file data, hijacks Chromium sessions via Chrome DevTools Protocol for live browser control, and uses a root LaunchDaemon for persistence; it also abuses CVE-2020-9771 to target Safari cookies on affected Catalina systems. No software patch is described in the report beyond the noted platform-specific limitation and the use of Full Disk Access for some Safari theft paths."
Đe dọa đánh cắp thông tin đăng nhập, chiếm quyền phiên trình duyệt và duy trì tồn tại trên máy macOS; có thể dẫn đến lộ dữ liệu và truy cập trái phép vào tài khoản doanh nghiệp.
Có thể gây rò rỉ dữ liệu người dùng, gián đoạn điều tra sự cố và tăng chi phí ứng phó; rủi ro cao hơn nếu thiết bị có quyền truy cập Keychain hoặc tài khoản trình duyệt doanh nghiệp.
Các nhà nghiên cứu an ninh đã công bố một chiến dịch phát tán AmnesiaStealer, một infostealer viết bằng Rust nhắm vào macOS. Mã độc được phát tán qua trang GitHub giả mạo có nút "Download for macOS" và mồi nhử kiểu ClickFix, yêu cầu người dùng sao chép và dán lệnh Base64 vào Terminal.
Theo báo cáo, chuỗi tấn công gồm nhiều giai đoạn: tải và chạy payload, thu thập dữ liệu từ Keychain, Apple Notes, Telegram và các trình duyệt, sau đó triển khai mô-đun cho phép kẻ tấn công điều khiển phiên trình duyệt theo thời gian thực qua Chrome DevTools Protocol (CDP). Mã độc nhắm tới 16 trình duyệt họ Chromium, bao gồm Google Chrome, Brave, Microsoft Edge, Arc, Opera, Vivaldi và Chromium.
Ngoài ra, AmnesiaStealer còn thiết lập LaunchDaemon chạy với quyền root để duy trì tồn tại, lưu dữ liệu tạm trong thư mục /tmp rồi nén và gửi ra ngoài. Báo cáo cũng ghi nhận việc lợi dụng CVE-2020-9771 để đánh cắp cookie Safari trên các hệ thống Catalina bị ảnh hưởng.
Khuyến nghị: không chạy lệnh từ nguồn không xác thực, kiểm tra kỹ các trang tải xuống giả mạo, hạn chế cấp Full Disk Access, và giám sát các dấu hiệu bất thường như LaunchDaemon lạ, truy cập Keychain không mong muốn, hoặc tiến trình trình duyệt chạy ở chế độ headless.