AmnesiaStealer：静的データ窃取から『ライブ遠隔操作』へ進化したmacOSの脅威｜ブログ(ほぼこもセキュリティニュース)

AmnesiaStealerは、ClickFix（ソーシャルエンジニアリング）手法を介して感染を広げる新種のRust製macOS向けインフォスティーラー型マルウェアです。
従来のmacOS向け情報窃取マルウェアが主に静的な認証情報や暗号資産データの「ファイル持ち出し」に留まっていたのに対し、AmnesiaStealerは被害者の端末上で非表示（ヘッドレス）ブラウザを動的に操作し、認証済みセッションをリアルタイムで直接乗っ取る高度なリモート制御機能を備えています。
特徴的な部分を見てみましょう。

インタラクティブな画面遠隔操作モジュール（stream_module）【最大の特徴】
- 解説
  C2サーバの指示で追加モジュール（stream_module）をロードし、Chrome DevTools Protocol (CDP) と WebSocket を悪用して被害者端末上で非表示（ヘッドレス）のChromium系ブラウザを起動・操作します。
  攻撃者へ約3fpsのライブスクリーンキャストを送信し、マウス入力、キーボード入力、タブ管理、ページ移動をアクティブかつリアルタイムに遠隔操作できます。
- 従来脅威との違い
  AMOSやMacSync等は、一度ファイルを盗み出すと完了する「ワンタイムの一括強奪」でした。
  対してAmnesiaStealerは、多要素認証（MFA）突破後の認証済みセッションを被害者端末上で「持続的かつインタラクティブに遠隔操作し続ける」ことが可能です。
ローカル環境でのプロファイル複製とCDP利用
- 解説
  7種類のChromium系ブラウザ（Chrome, Edge, Brave, Vivaldi, Arc, Opera, Chromium）が共通の DevTools Protocol やCookie暗号化方式を持つ点に着目し、被害者の既存プロファイルをローカル内で直接複製して利用します。
- 従来脅威との違い
  従来脅威はCookieや暗号鍵ファイルを「C2へアップロードし、攻撃者の所有環境側で復元・解析」しようと試みていました。
  AmnesiaStealerは「被害者のローカル環境（端末内）」でプロファイルを複製してそのまま操作するため、IP制限や端末識別子による不審検知を巧みに回避します。
ClickFix手法（偽GitHubダウンロードページ）による初期潜入
- 解説
  偽のGitHub「Download for macOS」ページ（github.aoitour[.]comなど）を使い、Terminalでワンラインコマンドを実行するよう誘導する「ClickFix」手法により初期侵入を果たします。
- 従来脅威との違い
  初期潜入のソーシャルエンジニアリング手法については、Atomic (AMOS) や MacSync 等で使われているルアーテンプレートやインフラをそのまま流用・共有しています。
TCC権限ダイアログを回避する消音化＆ステルス情報回収ロジック
- 解説
  Apple NotesやTelegram、キーチェーン等を窃取する際、macOSのTCC（警告ポップアップ）を出さないよう、まずシェルコマンド（cat/cp）で静かに回収を試み、失敗時はFinder（AppleScript）を呼び出してファイルを複製します。
  Finder経由で複製することでTCCのアクセス警告ポップアップを迂回する動きとなるのです。
  また、Finder複製時に鳴るコピー効果音を隠すため、処理前にシステム音量を自動的にミュート（消音）化します。
ビルダー駆動型の動的設定および難読化構造
- 解説
  管理パネル（Amnesia Panel）のビルダーによりビルドごとに動的生成される設計で、バイナリ内の約4KBの設定領域はプレーンテキストマーカー（__AMCFG_BEGIN__等）に挟まれ、15バイトの反復XORキー（4mn3s1a_2o26!xK）で保護されています。
  ドロッパーのZIPも個別パスワード（dulin）で防護され静的検知を回避します。
OSバージョン分岐による過去パッチのバイパス試行
- 解説
  感染端末のmacOSバージョンを特定してコードを分岐させます。
  例えば、macOS 15（Sequoia）などでChrome Safe Storageキーが直接復元できない場合、鍵を攻撃者指定の値へ強制置換するフォールバックメカニズムを起動します。
  これにより既存データの復号は不能になりますが、以降に保存されるデータを自らが復号可能な状態へ強制的に上書き・移行させます。

AmnesiaStealerの登場は、macOS向けインフォスティーラーが単なる「静的データの持ち出しツール」から、「高度なリアルタイムセッション乗っ取り・遠隔操作プラットフォーム」へと進化を遂げたことを強く象徴しています。
初期潜入の手法自体はClickFixのようなユーザの不注意を誘うソーシャルエンジニアリングに依存しているものの、侵入後の被害影響度は従来のマルウェアと一線を画しています。
企業や個人ユーザにおいては、Webサイトの指示に従ってTerminalコマンドを不用意に貼り付け・実行しない啓発を徹底するとともに、端末上の不審なバックグラウンドプロセスやCDP通信の監視を強化することが不可欠です。

AmnesiaStealer: a multi-stage Rust-based macOS infostealer that hijacks Chromium browsers
https://www.jamf.com/blog/amnesia-stealer-macos-infostealer-clickfix/