Thought Leadership
Jamf Threat Labs hat den neuen macOS-Infostealer AmnesiaStealer analysiert, der sich über eine gefälschte GitHub-Seite verbreitet.
Der eingefügte Befehl lädt laut Jamf Threat Labs unbemerkt einen in der Programmiersprache Rust entwickelten Infostealer nach, der sich über einen mehrphasigen Angriff Zugriff auf Chromium-basierte Browser verschafft und dabei Zugangsdaten, Browserdaten sowie aktive Sitzungen von macOS-Nutzern exfiltriert. AmnesiaStealer verfolgt damit ein ähnliches Ziel wie bereits etablierte macOS-Schadsoftware-Familien wie Atomic Stealer (AMOS), MacSync und CrashStealer, die Jamf Threat Labs in der Vergangenheit ebenfalls dokumentiert hatte.
Von anderen Kampagnen unterscheidet sich AmnesiaStealer nach Einschätzung der Forscher durch eine über einen sogenannten Builder gesteuerte Konfiguration sowie eine Logik, die je nach installierter Betriebssystemversion verzweigt und die eigenen Umgehungstechniken gezielt an bereits gepatchte macOS-Versionen anpasst.
Zweite Angriffsstufe ermöglicht Fernsteuerung und Cookie-Diebstahl
Eine zweite Stufe des Angriffs ermöglicht zusätzlich die Fernsteuerung des betroffenen Geräts, wodurch Angreifer die Cookies der Nutzer stehlen können. Über ein unauffälliges Skript verschleiern die Angreifer dabei zusätzlich ihre eigenen Aktivitäten: Das Skript patcht Browser-Fingerprinting-Schnittstellen und verhindert so, dass besuchte Websites den automatisierten Zugriff als solchen erkennen.
Die Kampagne reiht sich in eine seit Monaten anhaltende Serie ähnlicher, von Jamf Threat Labs dokumentierter macOS-Infostealer-Kampagnen ein, die wiederholt auf gefälschte Download-Seiten sowie die sogenannte ClickFix-Technik setzen, bei der Opfer über vermeintliche Fehlermeldungen oder Installationsanleitungen zum eigenständigen Einfügen eines schädlichen Terminal-Befehls verleitet werden.
(Jamf/red)
