AmnesiaStealer usa ClickFix para robar llaveros y controlar sesiones de Chromium en macOS

AmnesiaStealer se distribuye mediante una página que imita GitHub y muestra un supuesto instalador verificado para macOS. En lugar de descargar una aplicación, la técnica ClickFix convence al usuario de copiar una orden en Terminal e introducir su contraseña.

El flujo tiene tres etapas: un script inicial, un ladrón de información escrito en Rust y un módulo opcional de transmisión que el operador descarga cuando necesita controlar el navegador.

El malware busca datos del llavero, navegadores, Apple Notes y Telegram. También intenta acceder a cookies de Safari y a la base TCC mediante rutas que varían según la versión de macOS.

Su componente más distintivo clona el perfil de Chromium y lo abre de forma oculta mediante Chrome DevTools Protocol. Esto permite al atacante operar una sesión ya autenticada y puede eludir controles que dependen únicamente de la contraseña.

Los administradores deben impedir que instrucciones copiadas desde una web se ejecuten como método de instalación. Apple ya corrigió los bypass históricos que intenta reutilizar el malware, pero algunas rutas siguen funcionando cuando Terminal o el proceso malicioso tiene Full Disk Access.