Une nouvelle menace informatique cible les ordinateurs fonctionnant sous macOS en s'attaquant aux données de navigation et aux identifiants. Baptisé du doux nom d'AmnesiaStealer, ce programme développé en langage Rust combine le vol de fichiers confidentiels avec une prise de contrôle à distance des sessions web.
Les spécialistes de la firme Jamf ont détecté ce logiciel malveillant distribué par l'intermédiaire de fausses pages de téléchargement GitHub. L'attaque incite l'utilisateur à exécuter une commande dans son Terminal, ce qui installe un composant capable de dupliquer le profil de navigation pour manipuler les comptes de la victime.
Un piège par Terminal couplé à une prise de contrôle invisible des navigateurs
À l'instar des malwares Atomic et MacSync, cette attaque par ClickFix télécharge une archive ZIP protégée par mot de passe. Le script extrait un fichier exécutable, lequel affiche une fausse invite d'installation afin d'obtenir le mot de passe administrateur. Muni de ces droits, le programme s'empare du trousseau d'accès, des notes Apple, des documents personnels et des bases de données de seize navigateurs basés sur Chromium. Dans l'application Telegram, l'outil sélectionne spécifiquement les répertoires de comptes et filtre les dossiers secondaires pour accélérer l'extraction.
Pour accéder aux données protégées par le système d'exploitation, le programme essaie d'exploiter une vulnérabilité liée aux instantanés de disques locaux APFS. Cette méthode échoue sur macOS 26 à moins que l'application de commande n'ait déjà reçu un accès complet au disque. Lorsque le logiciel ne parvient pas à récupérer la clé de chiffrement du navigateur, il active un mécanisme alternatif. Il efface la clé d'origine dans le trousseau et la remplace par un mot de passe codé par l'attaquant. Cette modification rend les mots de passe et les cookies sauvegardés illisibles pour l'utilisateur, tout en permettant aux pirates de déchiffrer toutes les données enregistrées ultérieurement. Une étude indique d'ailleurs que seulement 37% des actions malveillantes sont bloquées lorsque les attaquants détiennent des identifiants valides.
AmnesiaStealer se distingue par un second composant appelé stream_module. Ce sous-programme duplique le profil du navigateur et le lance en arrière-plan sans interface visuelle, en le mode headless. Via le protocole de développement Chrome DevTools Protocol, il ouvre un canal de communication WebSocket avec le serveur de contrôle. L'opérateur distant reçoit un flux vidéo de l'écran à 3 images par seconde et transmet ses propres actions de clavier et de souris. Cette méthode permet aux pirates de naviguer directement sur les comptes déjà authentifiés de leur cible sans déclencher de nouvelles alertes de sécurité.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.