Исследователи Jamf Threat Labs обнаружили вредоносное ПО для macOS под названием AmnesiaStealer. Оно распространяется через поддельные страницы GitHub, похищает данные из «Связки ключей», браузеров, заметок и Telegram, а также способно запускать скрытую копию уже авторизованного Chrome или Safari.
Атака не использует неизвестную уязвимость macOS. Для заражения пользователь должен самостоятельно скопировать предложенную команду в «Терминал» и подтвердить пароль учётной записи Mac. Однако после этого вредонос получает значительно более широкие возможности, чем обычные программы для разового сбора данных.
Как начинается заражение
Кампания начинается с сайта, стилизованного под GitHub: злоумышленники копируют тёмную тему, логотип и отметку Verified Publisher. При этом сама страница размещена не на домене GitHub.
Вместо обычной загрузки программы посетителю предлагают скопировать команду, открыть «Терминал» через Spotlight и вставить её. Такая схема относится к атакам класса ClickFix: пользователь собственноручно запускает код, подготовленный злоумышленниками.
Команда загружает с подконтрольного сервера сценарий оболочки. Тот скачивает ZIP-архив, защищённый паролем, извлекает вредоносный файл, маскирует его под системный компонент Apple и запускает в фоновом режиме. Затем загрузчик удаляет атрибут карантина macOS и назначает файлу специальную подпись без указания разработчика. Такая подпись не означает, что программу проверила или нотариально заверила Apple.
Первый компонент AmnesiaStealer написан на Rust и поставляется в виде универсального Mach-O-файла, способного работать как на компьютерах Mac с процессорами Intel, так и на моделях с Apple Silicon. В его зашифрованной конфигурации содержатся идентификатор сборки, адреса управляющих серверов и текст фальшивного запроса пароля.
Вредонос выводит стандартно выглядящее окно macOS с заголовком Installer и значком, напоминающим «Системные настройки». Если пароль введён неверно, окно появляется вновь. Корректный пароль позволяет программе выполнять привилегированные команды на Mac, где пользователь обладает правами администратора.
Полученные учётные данные используются для разблокировки «Связки ключей» и выполнения команд через sudo. Кроме того, AmnesiaStealer сохраняет пароль в домашней папке пользователя в открытом виде.
Скрытая копия браузера
Отдельный модуль для удалённого управления браузером загружается только после команды оператора. Он поддерживает Chrome, Brave, Microsoft Edge, Arc, Opera, Vivaldi и Chromium.
Вместо управления окном браузера, которое видит жертва, модуль копирует существующий профиль в скрытый каталог. Затем он запускает настоящий исполняемый файл браузера в фоновом режиме без графического окна и использует Chrome DevTools Protocol – штатный интерфейс для разработки и автоматизации браузеров.
Оператор может получать изображение скрытой сессии с частотой около трёх кадров в секунду, открывать сайты, вводить текст, нажимать кнопки, прокручивать страницы и управлять вкладками. Во время тестов Jamf удалось выгрузить из работающего браузера уже расшифрованные cookie-файлы.
Скопированный профиль сохраняет доступ к активным сеансам пользователя. Похищенные cookie могут быть добавлены в другой браузер для повторного использования авторизованной сессии. Сайт способен заметить такую активность или завершить сеанс, но в отдельных случаях атакующему не потребуется повторно вводить пароль либо проходить двухфакторную аутентификацию.
Исследователи отмечают, что тестирование подтвердило работу механизма удалённого управления, однако не зафиксировало его применения против конкретных жертв. Для анализа Jamf создала тестовый сервер-посредник после изучения протокола связи вредоноса: модуль подключался к нему, но без команд оставался неактивным.
Какие данные собирает AmnesiaStealer
Первый этап атаки собирает сведения об оборудовании, версии macOS, установленных приложениях и примерном местоположении Mac, определяемом по публичному IP-адресу. Вредонос также просматривает папки «Рабочий стол», «Документы» и «Загрузки» в поисках файлов, представляющих интерес для злоумышленников.
Среди целевых данных – документы, изображения, ключи, файлы криптокошельков, базы данных Apple Notes, вложения заметок и данные сессий Telegram. Программа копирует файлы «Связки ключей» и защиты данных; исследователи не смогли однозначно установить, для чего злоумышленникам понадобился второй набор файлов.
AmnesiaStealer умеет собирать данные из 16 браузеров семейства Chromium, хотя модуль интерактивного управления поддерживает семь из них. Для каждого браузера вредонос может обработать до четырёх профилей, извлекая cookie, сохранённые логины, историю посещений, закладки, настройки и сведения о расширениях.
Поиск криптовалютных данных не ограничивается известными расширениями кошельков. Программа проверяет несколько каталогов расширений и хранилищ браузеров, поэтому под угрозой могут оказаться и кошельки, появившиеся уже после создания конкретной версии вредоноса.
Собранные материалы архивируются во временной папке со случайным именем, после чего передаются на сервер злоумышленников. В архиве данные распределяются по категориям: браузеры, пароли, кошельки, заметки, файлы Telegram, документы и техническая информация о компьютере.
Ограничения на macOS 26
В коде AmnesiaStealer предусмотрены четыре способа доступа к cookie-файлам Safari: прямое чтение, дублирование через Finder, привилегированное копирование файлов и использование снимка APFS. В macOS 26 образец пропустил первые три метода и попытался сразу использовать снимок файловой системы, однако cookie из Safari получить не удалось.
Код работы со снимками частично основан на CVE-2020-9771 – уязвимости, которую Apple исправила в 2020 году. Начиная с macOS Catalina 10.15.4 и 10.15.5 доступ к снимкам связан с разрешением «Полный доступ к диску»: одних прав root для этого недостаточно.
Исследователи смогли прочитать защищённые файлы только при ручном запуске последовательности команд из тестового «Терминала», которому уже был выдан полный доступ к диску. Самостоятельно выдать себе такое разрешение вредонос не смог.
Ещё один механизм пытался изменить базу конфиденциальности TCC и предоставить AmnesiaStealer полный доступ к диску. Защита ядра macOS не позволила изменить исходную базу новой версией, а отладочные сообщения программы подтвердили сбой. Тем не менее ключевые функции сбора информации продолжают работать, если пользователь выполнил полученную команду и ввёл пароль.
Как снизить риск
Описанная атака не может заразить Mac без участия пользователя: необходимо вручную выполнить команду с фейковой страницы. Обычный сайт для загрузки приложения, CAPTCHA или страница проверки не должны требовать открыть «Терминал» и вставить инструкцию с веб-страницы.
Приложения следует загружать из Mac App Store либо с официальных сайтов разработчиков, обязательно проверяя URL-адрес. Если незнакомая программа сразу требует пароль администратора, запрос следует отменить, а приложение – закрыть.
Обновления macOS по-прежнему важны: Apple уже заблокировала несколько методов обхода защиты, присутствующих в AmnesiaStealer. Но обновление системы не делает безопасной команду, полученную от непроверенного сайта, – сам факт такого требования должен служить предупреждением.
Пользователям, которые уже выполнили подозрительную команду, рекомендуется отключить Mac от сети и прекратить использовать его для работы с чувствительными аккаунтами. На корпоративном устройстве необходимо обратиться в ИТ-отдел или подразделение информационной безопасности, а не пытаться удалить отдельные файлы самостоятельно.
Пароли следует менять с доверенного устройства, а активные сессии – завершать через настройки безопасности соответствующих сервисов, особенно для электронной почты, финансовых сервисов и криптовалютных аккаунтов. Простая смена пароля не всегда завершает все сеансы, поэтому важно отдельно отозвать доступ у других браузеров и устройств.
После очистки или переустановки системы необходимо изменить пароль учётной записи Mac и пароли всех сервисов, где он использовался повторно. Если на заражённом компьютере хранились закрытые ключи или фразы восстановления криптокошельков, кошельки могут потребовать замены. Удаление исходного сценария не доказывает, что система безопасна: при отсутствии возможности провести полноценное расследование наиболее надёжным вариантом остаётся стирание Mac и чистая переустановка macOS.
