AmnesiaStealer：新型macOS恶意软件通过远程控制劫持浏览器会话

Jamf研究团队发现名为AmnesiaStealer的macOS恶意软件，通过ClickFix钓鱼攻击传播。攻击者在伪造的GitHub页面上提供受密码保护的ZIP压缩包，其中包含恶意Mach-O负载。用户下载并解压后，恶意脚本会自动加载主要负载。

AmnesiaStealer具备独特功能：能复制Chromium浏览器（包括Google Chrome、Microsoft Edge、Brave等）的用户配置文件，并将其加载到隐藏浏览器中。这使得攻击者可获取受害者的认证会话，保留浏览器、主机和网络标识符。此外，该恶意软件还窃取密码、加密钱包数据、Apple Notes笔记及macOS密钥链信息。

AmnesiaStealer的核心模块stream_module提供远程浏览器控制功能。攻击者可实时交互会话，通过约3fps的屏幕传输进行导航、键鼠输入及Cookie导入导出。该模块基于Chrome DevTools Protocol（CDP），此前已被其他恶意软件利用，但首次在macOS上实现交互式会话控制。

Jamf专家指出，AmnesiaStealer能绕过macOS 26的Chrome Safe Storage保护，通过替换加密密钥访问先前保存的Cookie和密码。为防范此类攻击，用户应避免执行未知终端命令，并部署专业macOS安全解决方案。