Un infostealer d’un genre nouveau cible les utilisateurs de Mac en détournant leurs navigateurs Chromium de l’intérieur, offrant à l’attaquant une fenêtre ouverte sur chaque session authentifiée. AmnesiaStealer, identifié par les chercheurs de Jamf Threat Labs, ne se contente pas de siphonner des fichiers ou des mots de passe stockés. Il transforme la machine infectée en poste de pilotage distant, où l’opérateur navigue dans le navigateur de la victime comme s’il était assis devant l’écran.
La chaîne d’infection démarre par une fausse page GitHub imitant un téléchargement « Download for macOS » émanant d’un éditeur prétendument vérifié. Le piège repose sur la technique dite ClickFix, qui invite l’utilisateur à copier-coller une commande encodée en Base64 dans le Terminal. Une manipulation anodine en apparence… mais qui déclenche le téléchargement d’une archive ZIP protégée par mot de passe, l’extraction d’un binaire Mach-O écrit en Rust, puis l’effacement du script d’amorçage pour brouiller les traces.
Le vol proprement dit se déploie en trois étapes distinctes. La première récupère et lance la charge utile. La deuxième, le cœur du stealer, ratisse le Trousseau iCloud, les données de 16 navigateurs de la famille Chromium (Chrome, Brave, Arc, Edge, entre autres), les sessions Telegram, les notes Apple et les fichiers sensibles (.wallet, .key, .pdf, .csv) disséminés dans les dossiers Bureau, Documents et Téléchargements. La troisième étape, déclenchée sur ordre du serveur de commande, est celle qui distingue véritablement AmnesiaStealer de ses prédécesseurs.
Cette troisième phase repose sur un module baptisé « stream_module », un second binaire Rust qui exploite le Chrome DevTools Protocol (CDP) pour prendre le contrôle interactif du navigateur en mode headless. Sept navigateurs Chromium sont pris en charge. L’opérateur reçoit un flux vidéo de la session à environ 3 images par seconde et dispose d’un arsenal complet de commandes, frappes clavier, clics, défilement, navigation entre onglets. « Il s’agit d’une session de navigateur cachée, pilotée en direct par l’opérateur, qui exploite les sessions authentifiées de la victime, ce qui représente un niveau d’accès matériellement différent d’une simple collecte de fichiers », souligne Thijs Xhaflaire, chercheur en sécurité chez Jamf Threat Labs.
Pour échapper aux mécanismes anti-automatisation déployés par les sites web, le module injecte un script qui modifie plusieurs API de fingerprinting du navigateur, rendant la session headless indiscernable d’une navigation humaine. Le tout fonctionne sans persistance propre, adossé au processus principal du malware, ce qui complique d’autant la détection par les outils de sécurité endpoint.
AmnesiaStealer déploie par ailleurs une ruse redoutable pour obtenir le mot de passe système. Une invite native macOS demande le mot de passe sous couvert d’installation, puis le valide en temps réel contre le service d’annuaire local via la commande dscl. En cas d’erreur, une boucle de dialogue s’affiche avec le message « Incorrect password. Please try again. » jusqu’à ce que la victime fournisse le bon sésame. Ce mot de passe, une fois capturé, est réutilisé tout au long de la chaîne d’attaque, pour déverrouiller le Trousseau, exécuter des commandes privilégiées via sudo -S, et il est même écrit en clair sur le disque.
Le module clipper, activable via la configuration embarquée, surveille le presse-papiers pour substituer les adresses de portefeuilles de cryptomonnaies (Bitcoin, Ethereum, Solana, Monero, Ripple, entre autres) par celles de l’attaquant. La persistance est assurée par un LaunchDaemon root qui se fait passer pour le service de rapport de plantage d’Apple. Les données collectées sont regroupées dans un répertoire temporaire au nom aléatoire de 25 caractères, archivées puis exfiltrées vers un serveur C2 dont le panneau d’administration, baptisé « Amnesia Panel », affiche ses messages d’erreur en russe.
La protection passe d’abord par un réflexe élémentaire, ne jamais exécuter dans le Terminal une commande copiée depuis une page web, aussi légitime qu’elle paraisse. Vérifier systématiquement l’origine des téléchargements (un lien GitHub ne garantit rien si le dépôt est frauduleux), maintenir macOS à jour pour bénéficier des correctifs de contournement TCC exploités par le malware (dont le CVE-2020-9771 visant Catalina), et surveiller l’apparition de LaunchDaemons inconnus dans /Library/LaunchDaemons constituent les gestes défensifs essentiels. Quiconque utilise Chrome, Brave ou Edge sur Mac ferait bien de considérer que la frontière entre vol de fichiers et prise de contrôle totale vient, du moins avec AmnesiaStealer, de s’effacer.
