AmnesiaStealer Serang macOS dan Membajak Sesi Browser lewat Remote Control

Malware baru bernama AmnesiaStealer menargetkan pengguna macOS melalui kampanye ClickFix dan memiliki kemampuan yang memungkinkan attacker mengendalikan browser korban secara interaktif.

Berbeda dari infostealer yang hanya mencuri file atau credentials, AmnesiaStealer memiliki modul khusus yang dapat menyalin profile browser Chromium beserta authentication state-nya. Profile tersebut kemudian dimuat ke dalam browser tersembunyi dalam mode headless pada perangkat yang telah terinfeksi.

Dengan teknik tersebut, attacker dapat mengakses sesi browser yang sudah terautentikasi tanpa harus melakukan login ulang. Identitas yang berkaitan dengan browser, host, dan jaringan korban juga tetap dipertahankan selama sesi tersebut digunakan.

AmnesiaStealer saat ini didistribusikan melalui ClickFix campaign yang menggunakan halaman download GitHub palsu untuk mengelabui pengguna agar menjalankan perintah berbahaya.

Menyebar Lewat Halaman GitHub Palsu

Peneliti dari Jamf menemukan bahwa distribusi AmnesiaStealer menggunakan template yang sebelumnya pernah digunakan untuk menyebarkan Atomic dan MacSync infostealer.

Dalam skenario serangan ClickFix, korban diarahkan ke halaman GitHub palsu yang tampak seperti halaman download software resmi. Korban kemudian dibujuk untuk menjalankan perintah tertentu melalui Terminal.

Perintah tersebut menjalankan shell-script loader yang mengunduh dan menjalankan ZIP archive yang dilindungi password. Di dalam archive tersebut terdapat payload Mach-O AmnesiaStealer.

Teknik ClickFix memanfaatkan kebiasaan pengguna mengikuti instruksi yang tampak seperti langkah instalasi atau perbaikan masalah. Padahal, perintah yang dijalankan secara manual tersebut justru memberikan malware akses awal ke perangkat.

AmnesiaStealer Mencuri Password hingga Keychain

Setelah berhasil dijalankan, AmnesiaStealer meminta dan menangkap password macOS milik korban. Password tersebut kemudian digunakan untuk mengakses berbagai data sensitif yang tersimpan pada sistem.

Informasi yang menjadi target mencakup browser profiles, Apple Notes, Telegram sessions, documents, system information, cryptocurrency wallets, serta data dari keychain.

Malware ini juga mampu mengumpulkan informasi dari 16 browser berbasis Chromium, termasuk cookies, saved logins, browsing history, bookmarks, extensions, local state, dan data lain yang tersimpan di browser profile.

Kemampuan tersebut membuat AmnesiaStealer tidak hanya berfungsi sebagai pencuri credentials, tetapi juga sebagai alat untuk mengambil alih akses yang sebelumnya telah diberikan kepada browser korban.

Browser Korban Dikloning ke Mode Headless

Salah satu fitur paling berbahaya AmnesiaStealer terdapat pada komponen bernama stream_module, yang diaktifkan melalui perintah remote_stream.

Modul tersebut memungkinkan malware menduplikasi browser profile korban dan menjalankannya menggunakan browser Chromium dalam mode headless, yaitu browser yang berjalan tanpa menampilkan antarmuka kepada pengguna.

Profile yang telah dikloning membawa authentication state dan berbagai data sesi dari browser asli.

Teknik ini dapat digunakan pada sejumlah browser Chromium karena browser tersebut memiliki mekanisme yang serupa dalam penggunaan DevTools Protocol, launch flags, dan cookie encryption.

Browser yang disebut dapat ditargetkan melalui modul tersebut mencakup Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave, dan Chromium.

Hacker Dapat Mengendalikan Browser Secara Langsung

Setelah browser headless dijalankan, AmnesiaStealer membuat WebSocket channel yang terhubung ke relay milik operator.

Malware mengirimkan JSON registration message yang berisi informasi seperti nama browser dan build yang digunakan. Operator kemudian dapat mengirimkan berbagai perintah melalui channel tersebut.

Perintah tersebut dapat mencakup navigasi halaman, mouse click, keyboard input, scrolling, serta pengelolaan tab.

Sementara itu, malware mengirimkan status dan informasi tab dalam format JSON serta mengirimkan screencast frame melalui binary WebSocket message.

Peneliti menemukan bahwa operator dapat menerima tampilan langsung dari sesi browser dengan kecepatan sekitar tiga frame per detik. Browser tersebut kemudian dapat dikendalikan menggunakan input keyboard dan mouse.

Dengan kata lain, attacker dapat mengoperasikan browser yang berjalan menggunakan session korban secara langsung.

Chrome DevTools Protocol Dimanfaatkan untuk Mengakses Sesi

AmnesiaStealer menggunakan WebSocket channel kedua yang terhubung ke instance Chromium headless lokal melalui webSocketDebuggerUrl.

Koneksi tersebut memberikan akses ke Chrome DevTools Protocol (CDP), sebuah protokol yang memungkinkan pengendalian berbagai fungsi browser.

Melalui mekanisme ini, attacker dapat mengarahkan browser ke situs tertentu, mengendalikan mouse dan keyboard, mengelola tab, serta melakukan export dan import cookies.

Yang membuat teknik tersebut sangat berbahaya adalah browser menggunakan authentication state korban. Dengan demikian, attacker berpotensi mengakses portal online yang sebelumnya sudah login tanpa perlu memperoleh username dan password secara langsung.

Dalam praktiknya, perangkat korban dapat berubah menjadi browser tersembunyi yang dikendalikan dari jarak jauh, lengkap dengan sesi autentikasi yang sudah tersedia.

Menargetkan 16 Browser Berbasis Chromium

Selain remote browser control, AmnesiaStealer dapat mengambil berbagai data dari 16 browser berbasis Chromium.

Informasi yang dicuri mencakup cookies, saved credentials, browsing history, bookmarks, extensions, local state, serta berbagai data profile lainnya.

Malware juga mencari cryptocurrency wallet dengan melakukan enumerasi terhadap browser extensions dan data IndexedDB.

Data tersebut dapat memberikan akses berharga bagi attacker, terutama jika browser digunakan untuk mengakses cryptocurrency exchange, layanan finansial, platform cloud, email, maupun aplikasi perusahaan.

Safe Storage Key pada macOS 26 Menjadi Target

Peneliti juga menemukan mekanisme khusus pada AmnesiaStealer ketika malware dijalankan pada macOS 26 dan tidak dapat memulihkan Chrome Safe Storage key yang sebelumnya digunakan untuk mengenkripsi data.

Dalam kondisi tersebut, malware menggantinya dengan nilai yang dikendalikan attacker.

Perubahan tersebut menyebabkan cookies dan password yang sebelumnya tersimpan menjadi tidak dapat dibaca secara permanen oleh browser. Di sisi lain, attacker dapat menggunakan nilai yang mereka kendalikan untuk melakukan dekripsi terhadap data yang berhasil diperoleh kemudian.

Mekanisme tersebut menunjukkan bahwa malware tidak hanya berusaha mencuri data yang dapat langsung digunakan, tetapi juga memanipulasi mekanisme penyimpanan kredensial browser untuk mempertahankan akses terhadap informasi yang berhasil diekstraksi.

AmnesiaStealer Memiliki Kemampuan yang Lebih Berbahaya

Chrome DevTools Protocol sebelumnya juga pernah disalahgunakan oleh berbagai malware untuk mengakses fungsi browser dan menjalankan aktivitas berbahaya.

Namun, AmnesiaStealer memiliki pendekatan yang lebih agresif dengan menggabungkan browser profile cloning, authentication state, headless Chromium, dan CDP-based remote control.

Kombinasi tersebut memungkinkan attacker berinteraksi langsung dengan sesi yang sudah terautentikasi dari perangkat korban.

Hal ini berbeda dari infostealer tradisional yang umumnya hanya mengambil cookies, password, atau file untuk kemudian dikirimkan ke server attacker. Dengan AmnesiaStealer, sesi browser korban dapat dijadikan lingkungan operasi yang dikendalikan secara langsung.

Pengguna macOS Diminta Waspada terhadap ClickFix

Pengguna macOS sebaiknya berhati-hati terhadap instruksi yang meminta mereka membuka Terminal dan menjalankan perintah yang ditemukan dari internet.

Halaman download palsu, termasuk halaman yang menyerupai repository atau layanan software populer, dapat digunakan untuk menyebarkan ClickFix campaign.

Pengguna sebaiknya tidak menjalankan perintah Terminal hanya karena diperintahkan oleh halaman web, pop-up, atau pesan yang mengklaim perangkat membutuhkan perbaikan.

Selain itu, penggunaan password yang kuat, pembaruan macOS secara rutin, serta pemeriksaan aktivitas browser dan keychain dapat membantu mengurangi dampak jika perangkat mengalami kompromi.

Kemampuan AmnesiaStealer untuk mempertahankan authentication state dan menyediakan remote control terhadap browser membuat malware ini menjadi ancaman serius bagi pengguna macOS, terutama karena attacker dapat memanfaatkan sesi yang sudah login tanpa harus mengetahui seluruh credentials korban.