Um infostealer recém-identificado para macOS chamado AmnesiaStealer está se espalhando por meio de uma página de download do GitHub falsa convincente, enganando usuários de Mac para colarem um comando malicioso do Terminal que instala silenciosamente malware e pode posteriormente conceder aos atacantes controle oculto e ao vivo da sessão do navegador da vítima. Pesquisadores de segurança do Jamf Threat Labs descobriram a campanha após detectar um site falsificado em github.aoitour[.]com que copia quase perfeitamente o tema escuro do GitHub, o logotipo Octocat e o selo "Verified Publisher".
Descoberta e escopo da campanha
Em vez de oferecer um download real, a página exibe uma caixa de "Instalação no Terminal" com um botão de cópia de um clique e instruções passo a passo dizendo aos visitantes que abram o Terminal, cole o comando, pressione Return e digitem a senha do dispositivo. Essa técnica de engenharia social, conhecida como ClickFix, também foi usada para espalhar outras famílias de malware Mac como Atomic (AMOS) e MacSync, mostrando que grupos criminosos estão reutilizando o mesmo modelo enganoso em campanhas.
Uma vez que uma vítima cola o comando, um script de shell oculto baixa silenciosamente um arquivo ZIP protegido por senha, extrai um binário disfarçado na pasta /tmp, remove a flag de quarentena da Apple e lança a carga útil antes de apagar seus próprios rastros. Isso é seguido por um infostealer baseado em Rust que perfila a máquina, exibe uma solicitação de senha de "Instalador" nativa falsa para capturar a credencial de login e usa-a para desbloquear o keychain, Apple Notes, sessões do Telegram, dados do navegador e documentos.
Vetor e exploração técnica
O malware é nomeado após o painel "Amnesia Panel" com o qual se comunica, e sua configuração incorporada é desbloqueada com a chave 4mn3s1a_2o26!xK. A capacidade mais preocupante chega em um terceiro componente chamado stream_module. Buscado apenas por comando do painel do atacante, esse estágio clona o perfil do navegador da vítima, inicia-o em modo headless e se conecta ao Chrome DevTools Protocol.
Isso dá ao atacante uma transmissão ao vivo da sessão junto com controle total de mouse, teclado e navegação, efetivamente permitindo que eles operem as sessões do navegador logadas da vítima, e-mail, bancos e redes sociais sem que a vítima veja qualquer mudança em sua própria tela, conforme lê o relatório do Jamf Threat Labs compartilhado com a Cyber Security News.
Curiosamente, várias das tentativas do malware de contornar as proteções de privacidade da Apple dependem de técnicas que a Apple corrigiu há anos, incluindo um bypass de snapshot APFS de 2020. Em versões modernas do macOS como macOS 26, essas tentativas falham em grande parte, e os logs de depuração do próprio malware registram as falhas. No entanto, seu roubo de credenciais e sessão de navegador ainda funciona efetivamente, especialmente contra usuários avançados que podem já ter concedido permissões de sistema mais amplas.
Impacto e defesa
O AmnesiaStealer ilustra uma tendência crescente onde os atacantes combinam páginas de phishing convincentes com cargas úteis acionadas remotamente em estágios, em vez de um único arquivo de malware estático. Como a infecção inicial depende inteiramente de enganar um usuário para executar um comando no Terminal, a defesa mais eficaz é simples: nunca cole comandos desconhecidos no Terminal, especialmente aqueles originados de prompts de download não solicitados.
Manter o macOS atualizado, habilitar proteção contra ameaças do navegador e endpoint, e tratar qualquer prompt de senha vinculado a um "instalador de software" com suspeita são precauções essenciais à medida que essa campanha continua a evoluir. A detecção deve focar em processos de Terminal iniciados por scripts externos e conexões incomuns ao Chrome DevTools Protocol.