ClickFix攻撃を通じてmacOSユーザーを狙う新種の情報窃取マルウェア「AmnesiaStealer」が確認されました。このマルウェアには、攻撃者が被害者のWebブラウザを対話的に遠隔操作できるストリーミングモジュールが組み込まれています。
特筆すべき機能として、被害者のChromiumプロファイルを認証状態も含めて複製し、感染端末上の非表示のヘッドレスブラウザに読み込むという手口が挙げられます。
これにより攻撃者は、ブラウザ・ホスト・ネットワークに紐づく識別子を維持したまま、被害者の認証済みセッションにアクセスできてしまいます。
AmnesiaStealerは、16種類のChromiumベースWebブラウザからデータを収集できるほか、パスワード、暗号資産ウォレット、Apple Notesや各種文書、キーチェーンデータといった機密情報も窃取します。
このマルウェアは現在、偽のGitHubダウンロードページを利用してパスワード保護されたZIPアーカイブを配布するClickFixキャンペーンを通じて拡散しています。
Appleデバイス管理・セキュリティ企業のJamfの研究者らがAmnesiaStealerの配布手法を分析したところ、以前AtomicおよびMacSyncの情報窃取マルウェアの拡散に使われていたものと同一のテンプレートが使用されていることが判明しました。
ClickFixのコマンドは、AmnesiaStealerのMach-Oペイロードを含むパスワード保護アーカイブをダウンロード・実行するシェルスクリプト型ローダーを起動します。
このマルウェアは被害者のmacOSパスワードを取得し、それを利用してキーチェーンデータ、ブラウザプロファイル、Apple Notes、Telegramセッション、各種文書、システム情報、暗号資産ウォレットのデータを収集します。
研究者らが注目しているのは、remote_streamコマンドで呼び出される「stream_module」というコンポーネントです。これにより、攻撃者はヘッドレスブラウザインスタンスから展開された認証済みセッションを遠隔操作できるようになります。
Jamfによると、AmnesiaStealerのstream_moduleは、Google Chrome、Microsoft Edge、Vivaldi、Arc、Opera、Brave、Chromiumを含む7種類のChromiumベースブラウザでユーザープロファイルを複製できます。これらのブラウザが同一のDevToolsプロトコル、起動フラグ、Cookie暗号化方式を共有しているためです。
このモジュールは、ブラウザの防御機能を弱めるコマンドラインスイッチを付与した状態で正規のブラウザ実行ファイルをヘッドレスモードで起動し、被害者のプロファイルを複製した上で、そのプロファイルデータの保存先を指定します。
その後マルウェアは、攻撃者の中継サーバーに接続するWebSocketチャネルを確立し、ブラウザ名とビルド情報を含むJSON形式の登録メッセージを送信します。
攻撃者はこのチャネルを通じて、ナビゲーションやマウスクリックといったコマンドを送信できます。一方マルウェア側は、ステータスやタブ情報をJSON形式で返信するとともに、画面キャプチャのフレームをバイナリ形式のWebSocketメッセージとして送信します。
2つ目のWebSocketチャネルは、ブラウザのwebSocketDebuggerUrlを通じてローカルのヘッドレスChromiumインスタンスに接続し、Chrome DevToolsプロトコル(CDP)へのアクセスを提供します。
これにより攻撃者は、マウスとキーボードによる操作でWebサイトを閲覧したり、Cookieのエクスポート・インポートを行ったり、被害者の既存の認証済みセッションを使ってオンラインポータルを操作したりできるようになります。
「攻撃者は毎秒約3フレームでセッションのライブ画面キャプチャを受信でき、キーボード、マウス、スクロール、ナビゲーション、タブ管理といったフル機能の入力操作でこれを操作できます」とJamfは説明しています。
「事実上、remote_streamコマンドは感染ホストを、被害者の認証済みセッションを実行する『攻撃者操作によるライブブラウザ』へと変貌させます。これは単なるファイル収集とは質的に異なるレベルのアクセスです」
研究者らによると、AmnesiaStealerは標的とする16種類のChromiumベースブラウザから、Cookie、保存済みログイン情報、閲覧履歴、ブックマーク、拡張機能、ローカルステート、その他のプロファイルデータを窃取できます。
さらに、拡張機能とIndexedDBデータを列挙することで暗号資産ウォレットの詳細情報を特定し、これも窃取します。
Jamfによると、このマルウェアはmacOS 26上で動作し、既存のChrome Safe Storageキーを復元できない場合のフォールバック機構を備えており、その場合は攻撃者が用意した値でキーを置き換えます。
これにより、それまでに保存されていたCookieやパスワードは恒久的に読み取り不能となる一方、攻撃者は後からデータを復号できるようになります。
Chrome DevToolsプロトコル(CDP)は過去にもマルウェアに悪用された例があります。ChaosランサムウェアはC2通信を隠すために、またChaesマルウェアはデータ窃取につながりうるブラウザ機能を露出させるために、それぞれCDPを悪用していました。
しかしAmnesiaStealerは、複製したChromiumプロファイルとCDPベースのライブ遠隔操作を組み合わせた、初めて確認されたmacOSマルウェアとみられます。これにより攻撃者は、感染したコンピューター上で動作する非表示のブラウザを通じて、認証済みセッションを直接操作できるようになります。
ユーザーは、ネット上で見つけた、内容を十分理解していないコマンドを絶対にターミナルで実行しないよう推奨されます。
攻撃者が有効な認証情報を入手すると、その行動のうちブロックされるのはわずか37%
全体的な防御スコアだけでは、初期侵入後に何が起きているかが見えなくなってしまいます。攻撃者が有効な認証情報を使い始めると、防御成功率は急激に低下します。
The Blue Report 2026は、顧客の本番環境で実施された3億3,800万件のシミュレーションに基づき、防御策を手法ごとに測定しています。
