🛡️ Executive Summary
- AmnesiaStealer usa ClickFix e una falsa pagina GitHub per installare su macOS un infostealer Rust capace di controllare sessioni Chromium autenticate.
- CVE-2026-65400 consente di accedere a macOS Screen Sharing senza credenziali valide ed è stata sfruttata contro sistemi con porta 5900 esposta.
- Apple ha corretto Screen Sharing in Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9; contro AmnesiaStealer resta decisiva la prevenzione ClickFix.
macOS affronta contemporaneamente due minacce differenti che mostrano quanto l’accesso remoto sia diventato centrale negli attacchi contro i Mac. AmnesiaStealer, nuovo infostealer distribuito tramite ClickFix, non si limita a sottrarre password e cookie: clona il profilo Chromium della vittima e consegna all’operatore un browser nascosto controllabile in tempo reale con le sessioni già autenticate. Parallelamente, la vulnerabilità CVE-2026-65400 di Screen Sharing viene sfruttata contro sistemi esposti su Internet per ottenere accesso root e installare miner Monero. Nel primo caso l’ingresso dipende dall’inganno dell’utente; nel secondo da un difetto di autenticazione corretto da Apple il 6 agosto.
Cosa leggere
AmnesiaStealer arriva attraverso una falsa pagina GitHub
Jamf Threat Labs ha individuato AmnesiaStealer in una campagna attiva basata su ClickFix, tecnica che convince la vittima a copiare ed eseguire personalmente un comando malevolo nel Terminale. La landing page imita GitHub, utilizza un falso pulsante “Download for macOS” e presenta l’esecuzione da Terminale come una normale procedura di installazione. Il modello è già comparso nelle campagne che distribuivano Atomic Stealer e MacSync, confermando la crescente standardizzazione delle esche utilizzate contro gli utenti Apple.
Matrice Digitale aveva già documentato la stessa dinamica quando ClickFix era arrivato negli annunci sponsorizzati di X per distribuire Atomic Stealer, dimostrando come il social engineering stia sostituendo la necessità di vulnerabilità tecniche nell’accesso iniziale. Nel caso AmnesiaStealer, il comando copiato scarica uno script shell che recupera un archivio ZIP protetto da password, estrae un payload Mach-O universale scritto in Rust, elimina gli attributi di quarantena, applica una firma ad hoc e avvia il malware.
La catena è descritta nell’analisi tecnica di Jamf Threat Labs, che identifica tre componenti principali: il loader, l’infostealer e un modulo separato denominato stream_module. Il malware prende il nome dal pannello di controllo “Amnesia Panel” individuato sull’infrastruttura C2 e contiene una configurazione costruita per singola campagna, indicazione compatibile con un sistema di generazione automatizzata dei payload.
Il browser nascosto conserva le sessioni già autenticate
La caratteristica più avanzata di AmnesiaStealer emerge quando il server di comando invia l’istruzione remote_stream. Il malware scarica un secondo binario Rust, clona il profilo del browser compromesso e avvia l’eseguibile Chromium legittimo in modalità headless, cioè senza mostrare alcuna finestra alla vittima. Sono supportati Chrome, Brave, Microsoft Edge, Arc, Opera, Vivaldi e Chromium, perché condividono il Chrome DevTools Protocol, le modalità di avvio e gran parte della gestione dei profili. Il clone include cookie, login, Local Storage, Session Storage, IndexedDB, preferenze e stato locale. A questo punto vengono creati due canali WebSocket: il primo collega il Mac all’infrastruttura dell’operatore, mentre il secondo comunica localmente con il browser attraverso CDP. Il criminale riceve uno screencast di circa tre frame al secondo e può impartire in tempo reale input di tastiera, movimenti e click del mouse, navigazione, apertura delle schede e gestione dei cookie. L’aspetto decisivo è che l’attività avviene sullo stesso computer, con lo stesso profilo e lo stesso contesto di rete della vittima. I controlli antifrode che considerano indirizzo IP, fingerprint del dispositivo e caratteristiche del browser possono quindi vedere una sessione molto più simile a quella originale rispetto al semplice riutilizzo di un cookie da un’infrastruttura criminale remota. Jamf ha inoltre verificato che CDP permette al modulo di esportare cookie già decifrati direttamente dal browser in esecuzione. Rispetto ad altri malware macOS, compreso CrashStealer e il suo dropper notarizzato, AmnesiaStealer sposta quindi il valore dell’infezione dalla sola raccolta di file al controllo hands-on delle identità digitali già autenticate.
Password macOS, Keychain e wallet alimentano il furto di identità
Prima di attivare il controllo remoto, AmnesiaStealer esegue una raccolta molto più tradizionale ma estesa. Un falso prompt dell’Installer chiede la password di macOS e la verifica localmente, riutilizzandola successivamente con sudo e per sbloccare il login keychain. Il malware raccoglie informazioni hardware, versione del sistema operativo, applicazioni installate e geolocalizzazione dell’indirizzo IP pubblico, quindi copia dati da 16 browser basati su Chromium, Apple Notes, sessioni Telegram, documenti presenti in Desktop, Documents e Downloads e informazioni associate ai wallet di criptovalute. I browser vengono analizzati alla ricerca di cookie, password, cronologia, bookmark, estensioni e database locali. La famiglia contiene inoltre codice per aggirare alcune protezioni TCC attraverso tecniche basate su snapshot APFS e modifica di TCC.db, ma Jamf ha verificato che diversi di questi metodi sono obsoleti e falliscono su macOS 26 grazie alle protezioni introdotte da Apple.
Questo dettaglio è rilevante perché distingue le funzionalità presenti nel codice da quelle realmente efficaci sui sistemi aggiornati. Il malware riesce comunque a ottenere una quantità significativa di informazioni usando la password sottratta e le normali API disponibili dopo l’esecuzione autorizzata dall’utente. Per la persistenza crea un LaunchDaemon che imita il componente Apple ReportCrash, mentre al termine cancella file temporanei e cronologia della shell. La pressione sugli endpoint Apple non si limita quindi agli infostealer: campagne come XCSSET v40 hanno mostrato come anche i progetti Xcode possano trasformare i Mac in vettori supply chain, ampliando ulteriormente la superficie che le aziende devono monitorare.
CVE-2026-65400 apre Screen Sharing senza credenziali valide
La seconda minaccia non richiede invece alcuna esecuzione volontaria di comandi. CVE-2026-65400, classificata dall’NCSC olandese con CVSS 7.1, interessa la funzione integrata Screen Sharing di macOS, basata sul protocollo VNC e normalmente raggiungibile sulla porta TCP 5900. Apple descrive il problema come un errore di autenticazione causato da una gestione insufficiente dello stato durante il processo di login: un attaccante raggiungibile dalla rete può autenticarsi al servizio senza disporre di credenziali valide. La società ha corretto la vulnerabilità il 6 agosto 2026 migliorando i meccanismi di state management in macOS Tahoe 26.6.1, con fix equivalenti distribuiti per macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9. L’advisory NCSC-NL è stato successivamente aggiornato dopo la pubblicazione di codice proof-of-concept e la ricezione di segnalazioni relative a sfruttamento attivo su più sistemi con la porta 5900 direttamente accessibile da Internet. In tutti i casi comunicati all’agenzia olandese, gli attaccanti avrebbero ottenuto accesso root e installato un miner Monero. Non sono stati divulgati il numero complessivo delle vittime, l’inizio della campagna o elementi che permettano di stabilire se l’attività osservata abbia obiettivi ulteriori rispetto al cryptomining. Apple conferma nel proprio bollettino di sicurezza per macOS Tahoe 26.6.1 che CVE-2026-65400 consente a un attore di rete di autenticarsi a Screen Sharing senza credenziali valide.
Aggiornare macOS non elimina il rischio ClickFix
Le due campagne richiedono contromisure differenti. Per CVE-2026-65400 la priorità è installare macOS Tahoe 26.6.1, Sequoia 15.7.9 o Sonoma 14.8.9 e verificare che Screen Sharing non sia esposto direttamente a Internet. Quando il servizio non è indispensabile può essere disabilitato dalle impostazioni di condivisione; negli ambienti aziendali l’accesso remoto dovrebbe inoltre essere limitato a reti amministrative, VPN o segmenti specificamente autorizzati anziché pubblicare la porta 5900. Nel caso AmnesiaStealer, invece, l’aggiornamento del sistema operativo riduce l’efficacia di alcune tecniche secondarie ma non neutralizza la catena principale, perché è l’utente a eseguire il comando ClickFix e a consegnare successivamente la password al malware. L’indicatore più importante resta quindi il comportamento: una pagina Web che chiede di aprire Terminale, incollare un comando o rimuovere manualmente protezioni di macOS deve essere considerata ostile finché non viene verificata indipendentemente. Negli ambienti gestiti risultano particolarmente utili il monitoraggio delle esecuzioni di xattr, firme ad hoc, LaunchDaemon anomali, modifiche alle voci Safe Storage dei browser e avvii di Chromium con remote debugging. Le due minacce mostrano così due estremi della stessa superficie: CVE-2026-65400 elimina il controllo dell’identità sul servizio remoto, mentre AmnesiaStealer sfrutta un’identità autentica già presente sul dispositivo e la consegna direttamente all’operatore.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
