Peringatan Ancaman

Peneliti keamanan siber mengungkap AmnesiaStealer, malware pencuri informasi berbasis Rust yang menargetkan perangkat macOS. Malware ini tidak hanya mencuri kata sandi dan data peramban, tetapi juga dapat memberikan kendali langsung dan tersembunyi atas sesi Chromium milik korban.

AmnesiaStealer ditemukan oleh Jamf Threat Labs dan dilaporkan telah digunakan dalam serangan nyata. Malware tersebut disebarkan melalui halaman unduhan GitHub palsu yang menampilkan tombol “Download for macOS” serta lencana penerbit terverifikasi untuk meyakinkan calon korban.

Modus Penyebaran

Serangan menggunakan teknik rekayasa sosial ClickFix. Alih-alih menyediakan berkas aplikasi, halaman palsu mengarahkan pengguna untuk:

1. Membuka aplikasi Terminal melalui Spotlight;
2. Menyalin perintah yang disediakan pada halaman;
3. Menempelkan dan menjalankan perintah tersebut; serta
4. Memasukkan kata sandi perangkat untuk menyelesaikan proses yang diklaim sebagai instalasi.

Perintah tersebut sebenarnya mengunduh dan menjalankan skrip berbahaya dari server penyerang. Arsip ZIP yang dilindungi kata sandi kemudian diekstrak untuk mengeksekusi muatan utama AmnesiaStealer.

Tiga Tahap Serangan

Rantai infeksi AmnesiaStealer terdiri atas tiga tahap:

1. Skrip pengunduh mengambil dan menjalankan muatan berbahaya dari server jarak jauh.
2. Malware berbasis Rust mengumpulkan kata sandi, data Apple Keychain, data peramban, Apple Notes, sesi Telegram, dompet digital, dan dokumen pengguna.
3. Modul tambahan bernama stream_module memberikan kendali interaktif atas peramban korban kepada penyerang.

Setelah dijalankan, malware melakukan pengumpulan informasi perangkat, termasuk versi macOS, identitas perangkat keras, aplikasi yang terpasang, alamat IP publik, penyedia layanan internet, dan perkiraan lokasi korban.

Pencurian Kata Sandi dan Data Pengguna

AmnesiaStealer menampilkan dialog palsu yang menyerupai permintaan kata sandi dari aplikasi pemasang macOS. Kata sandi yang dimasukkan akan diperiksa secara lokal agar malware hanya mengirimkan kata sandi yang benar.

Kata sandi tersebut selanjutnya digunakan untuk memperoleh akses administratif, membuka Apple Keychain, serta membaca data yang dilindungi. Dalam temuan Jamf, kata sandi juga disimpan dalam bentuk teks biasa pada berkas ~/.pwd.

Data yang menjadi sasaran meliputi:

• Kata sandi dan data Apple Keychain;
• Kuki, riwayat, markah, preferensi, dan data masuk peramban;
• Apple Notes beserta sebagian lampirannya;
• Data sesi Telegram;
• Data ekstensi dompet aset kripto;
• Dokumen pada folder Desktop, Documents, dan Downloads; serta
• Berkas dengan ekstensi seperti .txt, .pdf, .rtf, .doc, .wallet, .key, .jpg, .png, dan .csv.

Tahap pertama malware dilaporkan menargetkan 16 peramban berbasis Chromium, termasuk Google Chrome, Brave, Arc, dan Microsoft Edge.

Pembajakan Sesi Peramban Secara Langsung

Kemampuan yang membedakan AmnesiaStealer dari sebagian malware pencuri informasi lainnya adalah modul kendali peramban interaktif.

Ketika menerima perintah remote_stream dari server kendali dan kontrol, malware mengunduh modul Rust tambahan. Modul tersebut menggandakan profil peramban korban, lalu menjalankannya secara tersembunyi dalam mode tanpa antarmuka (headless).

Modul ini mendukung Google Chrome, Brave, Microsoft Edge, Arc, Opera, Vivaldi, dan Chromium. Penyerang dapat:

• Melihat tayangan sesi peramban secara langsung;
• Menggerakkan tetikus dan melakukan klik;
• Mengirim masukan papan ketik;
• Menggulir halaman;
• Membuka, menutup, dan berpindah tab;
• Mengarahkan peramban ke alamat tertentu; serta
• Mengekspor dan memasukkan kembali kuki sesi.

Kendali tersebut dijalankan melalui Chrome DevTools Protocol. Karena menggunakan salinan profil yang telah terautentikasi, aktivitas penyerang dapat berlangsung tanpa menampilkan jendela pada layar korban.

Pencurian kuki sesi memungkinkan penyerang mengakses akun yang masih memiliki sesi aktif tanpa melalui proses masuk ulang. Risiko ini dapat tetap ada meskipun akun menggunakan autentikasi multifaktor, selama layanan masih menerima kuki sesi yang dicuri.

Malware juga memodifikasi sejumlah antarmuka pemrograman aplikasi untuk menyamarkan ciri peramban tanpa antarmuka agar tidak mudah dikenali sebagai aktivitas otomatis.

Persistensi dan Penghindaran Deteksi

AmnesiaStealer membuat mekanisme persistensi menggunakan LaunchDaemon dengan nama yang menyerupai layanan pelaporan kerusakan milik Apple:

com.apple.ReportCrash.agent_<angka>.plist

Malware juga menghapus riwayat perintah Terminal dan sebagian artefak sementara setelah eksekusi. Data yang berhasil dikumpulkan ditempatkan dalam direktori acak di /tmp, dikompresi, kemudian dikirimkan ke server penyerang.

Beberapa teknik untuk mengakses data Safari dan basis data Transparency, Consent, and Control (TCC) memanfaatkan metode lama yang telah diperbaiki Apple. Dalam pengujian pada macOS 26, teknik tersebut umumnya gagal kecuali Terminal atau proses malware sebelumnya telah memperoleh izin Full Disk Access. Namun, kemampuan pencurian data Chromium dan pembajakan sesi peramban tetap berfungsi.

Dampak

Infeksi AmnesiaStealer dapat mengakibatkan:

• Pengambilalihan akun melalui kuki sesi yang dicuri;
• Kebocoran kata sandi dan kredensial yang tersimpan;
• Akses tidak sah terhadap surel, layanan awan, media sosial, dan aplikasi organisasi;
• Kebocoran dokumen serta informasi pribadi;
• Penyalahgunaan sesi Telegram;
• Pencurian aset kripto;
• Kendali jarak jauh terhadap aktivitas peramban; dan
• Persistensi malware dengan hak akses tinggi pada perangkat.

Rekomendasi Mitigasi

Pengguna dan pengelola sistem disarankan untuk:

1. Jangan menyalin atau menjalankan perintah Terminal dari halaman unduhan, peringatan keamanan, atau situs yang tidak dapat dipercaya.
2. Unduh aplikasi hanya dari App Store atau situs resmi pengembang setelah memverifikasi nama domain.
3. Perbarui macOS dan seluruh peramban ke versi keamanan terbaru.
4. Tinjau aplikasi yang memperoleh izin Full Disk Access dan hapus izin yang tidak diperlukan, khususnya dari Terminal.
5. Pantau pembuatan LaunchDaemon yang menyerupai layanan Apple tetapi mengarah ke berkas dalam /tmp.
6. Blokir domain dan alamat infrastruktur berbahaya berdasarkan indikator kompromi yang telah diverifikasi.
7. Terapkan perlindungan titik akhir yang mampu mendeteksi eksekusi skrip, pencurian kredensial, dan penyalahgunaan Chrome DevTools Protocol.
8. Edukasi pengguna mengenai teknik ClickFix dan permintaan untuk menempelkan perintah ke Terminal.
9. Jika perangkat diduga terinfeksi, segera isolasi perangkat dari jaringan dan lakukan pemeriksaan forensik.
10. Dari perangkat yang bersih, ganti kata sandi macOS dan seluruh kredensial yang tersimpan, cabut sesi aktif, serta perbarui token autentikasi.
11. Pertimbangkan instalasi ulang perangkat apabila integritas sistem tidak dapat dipastikan.

Indikator Kompromi

Domain

github.aoitour[.]com allllowef[.]space debug.allllowef[.]space news.allllowef[.]space shlyapadulina[.]space amz.shlyapadulina[.]space

Alamat IP

138.124.70[.]84 138.124.96[.]160

Alamat 104.21.53[.]85 dan 172.67.211[.]6 merupakan infrastruktur bersama Cloudflare sehingga tidak disarankan untuk diblokir hanya berdasarkan alamat IP.

Nilai SHA-256

de5748aac4a4d4cb48cf050652679e6bc49eda33d9ffaa0d280b578122fab55a 1edb978783394b946ee6d27510564aa56af1f033b08e2b90fa2c35bc4f495a93 e853748ca8f9a5a9168263617409a9039ab09f4ffc7d860374c1e3b0b67b31a5

Artefak Sistem

/tmp/.com.apple.dt.<5–6 angka> /tmp/._<angka>.zip /tmp/starter /tmp/.snap_read /tmp/.snap_tcc /tmp/.tcc_mod.db /tmp/.tcc_bak.db /tmp/tempAppleScript.scpt ~/.pwd ~/.chost ~/.botid ~/.local/share/.stream/ /Library/LaunchDaemons/com.apple.ReportCrash.agent_<angka>.plist

Indikator kompromi dapat berubah seiring perkembangan kampanye. Organisasi disarankan menggabungkan indikator tersebut dengan analisis perilaku dan telemetri titik akhir.

Referensi

• The Hacker News — AmnesiaStealer Hijacks Chromium Sessions to Give Attackers Live Browser Control on macOS
• Jamf Threat Labs — AmnesiaStealer: a Multi-Stage Rust-Based macOS Infostealer