AmnesiaStealer passa dal furto account al controllo della sessione
AmnesiaStealer cambia la posta in gioco: non si limita a copiare password e cookie, ma può prendere il controllo di una sessione già aperta dentro il browser. Per chi usa browser-based SSO, questo sposta un’infezione da semplice furto di credenziali a uso attivo dell’account, finché la sessione resta valida.
Jamf descrive un malware Rust per macOS distribuito tramite una falsa pagina di download GitHub nei recenti attacchi ClickFix. Raccoglie keychain, dati di Chromium e Safari, poi può avviare un modulo interattivo che clona il profilo del browser e lo guida via CDP, con input di tastiera e mouse in tempo reale dentro una finestra headless. In questo modo l’attaccante opera nella sessione autentica, non solo su dati rubati da riusare dopo.
Il punto non è il solo furto di dati salvati. Il rischio è che, con il browser già aperto e autenticato, l’abuso dell’account possa avvenire prima che password e cookie vengano cambiati. Per gli ambienti che si fidano delle sessioni del browser, questo è un cambio di classe del problema, non un semplice stealer in più.