AmnesiaStealer: malware para macOS deixa o atacante pilotar ao vivo a sessão do navegador da vítima já autenticada
Distribuído via campanhas ClickFix com páginas falsas no GitHub, o AmnesiaStealer é um infostealer para macOS com um módulo de streaming que duplica o perfil do navegador da vítima, abre uma instância headless e transmite a tela ao atacante a cerca de 3fps com controle total de mouse, teclado e navegação. Isso permite operar contas já logadas — bancos, exchanges de cripto, e-mail — preservando as impressões digitais do dispositivo e da rede, o que dificulta a detecção por sistemas antifraude baseados em device fingerprinting.
A porta de entrada é o padrão ClickFix, que vem se tornando um dos vetores de engenharia social mais eficazes contra macOS e Windows: a vítima chega a uma página falsa (neste caso hospedada em um GitHub disfarçado) que a instrui a copiar e colar um comando no terminal para 'corrigir' algum problema — um CAPTCHA que não carrega, um erro de vídeo, etc. Esse comando na verdade baixa um script loader que, por sua vez, obtém um arquivo ZIP protegido por senha contendo a carga real do AmnesiaStealer. A técnica funciona porque explora a disposição do usuário em seguir instruções técnicas que ele mesmo 'executa', driblando avisos de segurança que dependem de download direto de executável.
O diferencial deste malware em relação a um infostealer comum é o chamado stream_module. Em vez de apenas copiar cookies e senhas estáticas, ele duplica o perfil de sete navegadores baseados em Chromium (Chrome, Edge, Vivaldi, Arc, Opera, Brave, Chromium) e os abre em modo headless no próprio computador da vítima, mantendo endereço IP, fingerprint do dispositivo e todos os identificadores de rede intactos. O atacante recebe uma transmissão ao vivo da tela e pode digitar, clicar, rolar e navegar como se estivesse fisicamente na máquina da vítima.
Essa arquitetura é particularmente perigosa do ponto de vista antifraude: bancos e exchanges de criptomoeda usam justamente sinais como IP, fingerprint de dispositivo e padrões de sessão para distinguir o dono legítimo da conta de um invasor. Como a sessão sequestrada roda literalmente no dispositivo e na rede da vítima, esses sinais permanecem 'limpos' aos olhos do sistema de risco, tornando o acesso do golpista praticamente indistinguível do uso normal do titular — inclusive contornando MFA já validado na sessão em andamento.
A defesa prática contra esse tipo de ataque exige dois níveis: no lado do usuário, jamais copiar e colar comandos de terminal recebidos de sites, mensagens ou 'correções' sugeridas por páginas de erro — esse é o gatilho universal do ClickFix; no lado corporativo e das instituições financeiras, monitorar sinais de automação de navegador (padrões de digitação/movimento não humanos, latência incomum de interação) além do simples IP e fingerprint, já que este malware foi desenhado especificamente para neutralizar essas defesas tradicionais.