Ny skadeprogramvara lurar Mac-användare via fejkade nedladdningssidor – och tar över webbläsaren i realtid

Din Mac är inte immun – och det är dags att ta det på allvar

Det finns en seglivad myt i teknikvärlden: att Mac-användare är skyddade från skadeprogramvara. Den myten får sig en rejäl törn i dag. Säkerhetsforskare på Jamf har dokumenterat en ny skadeprogramvara kallad AmnesiaStealer, och den är varken enkel eller halvdant konstruerad. Det rör sig om ett genomtänkt och flerstegsbaserat angrepp som utnyttjar användarens eget förtroende som vapen.

Så går angreppet till

Angreppet börjar på en förfalskad nedladdningssida på GitHub – en plattform som de flesta utvecklare och teknikintresserade litar blint på. Offret lockas att klistra in ett kommando direkt i Terminalen, en metod som inom säkerhetsbranschen kallas ClickFix-angrepp. Det är ett elegant och skrämmande effektivt sätt att kringgå tekniska skyddsmekanismer: i stället för att utnyttja en teknisk sårbarhet utnyttjar angriparna den mänskliga faktorn.

När kommandot väl körts rullar en kedja av tre steg igång:

1. Ett skalskript hämtar och aktiverar den skadliga koden från angriparnas servrar.
2. Programvaran kartlägger systemet, lurar användaren att ange sitt inloggningslösenord, kopierar nyckelringar med lösenord och dataskyddsnycklar, samt samlar in databaser från Chromium-baserade webbläsare, Apple Notes och lokalt lagrade dokument.
3. En fjärrstyrningsmodul aktiveras, som klona offrets webbläsarprofil och startar den i ett dolt läge via Chromes inbyggda utvecklarprotokoll.

Det är det tredje steget som verkligen skiljer AmnesiaStealer från mängden av informationsskördare. Angriparna kan bokstavligen se och styra offrets webbläsare i realtid – logga in på banktjänster, läsa privat korrespondens, genomföra transaktioner. Allt medan användaren sitter ovetandes framför samma skärm.

Programvaran är skriven i programspråket Rust, vilket gör den både snabb och svår att analysera. Den försöker dessutom aktivt kringgå macOS inbyggda skyddsramverk för integritet och samtycke för att få tillgång till Safaris kakor och hela filsystemet. För att säkra sin överlevnad installerar sig skadeprogramvaran som en systemtjänst som startar automatiskt vid omstart.

Varför detta är ett trendbrott

Det som är anmärkningsvärt med AmnesiaStealer är inte bara dess tekniska sofistikering – det är kombinationen av social manipulering och avancerad fjärrstyrning. Historiskt sett har skadeprogramvara mot Mac-användare ofta varit opportunistisk och relativt trubbig. Det vi ser här är något annat: ett riktat, metodiskt och modulärt angrepp.

Detta speglar en bredare trend inom cybersäkerhet. I takt med att fler verksamheter och privatpersoner förlitar sig på molntjänster och webbläsarbaserade arbetsflöden blir webbläsarsessioner det nya lösenordet. Den som kontrollerar sessionen kontrollerar identiteten – utan att behöva knäcka ett enda krypteringsprotokoll.

Så skyddar du dig

Den goda nyheten är att grundläggande digitalt säkerhetstänk fortfarande är det effektivaste skyddet:

• Klistra aldrig in kommandon i Terminalen som du inte själv har skrivit eller förstår till fullo – oavsett varifrån de kommer.
• Verifiera alltid källan för nedladdningar, även på till synes betrodda plattformar som GitHub.
• Håll macOS och alla program uppdaterade – säkerhetsuppdateringar täpper till kända kryphål.
• Aktivera tvåstegsverifiering på alla viktiga konton, vilket begränsar skadan även om sessionsdata stjäls.
• Använd en lösenordshanterare som inte lagrar lösenord i webbläsaren, och som kräver separat autentisering.

Teknik kan ge oss kraftfulla verktyg, men det mänskliga omdömet är alltid den första försvarslinjen.