AmnesiaStealer: Neue macOS-Malware stiehlt Passwörter und Browser-Sitzungen
Veröffentlicht am: 14.08.2026 um 10:24 Uhr | Redaktion boerse-global.de
Sicherheitsforscher von Jamf Threat Labs haben eine neue, hochentwickelte Schadsoftware für das Betriebssystem macOS entdeckt. Die als AmnesiaStealer bezeichnete Malware basiert auf der Programmiersprache Rust und ist darauf spezialisiert, sensible Informationen von betroffenen Systemen zu entwenden.
Neben dem klassischen Datendiebstahl bietet das Programm Funktionen, mit denen Angreifer aktive Browser-Sitzungen übernehmen und fernsteuern können. Die Analyseergebnisse zu dieser Kampagne wurden Mitte August veröffentlicht.
Infektionsweg über manipulierte Plattformen
Die Verbreitung von AmnesiaStealer erfolgt über eine gezielte Täuschung potenzieller Opfer. Die Angreifer nutzen hierfür eine gefälschte GitHub-Downloadseite, die unter der Domain github.aoitour[.]com erreichbar ist. Dabei kommt die sogenannte ClickFix-Technik zum Einsatz.
Bei dieser Methode werden Nutzer durch Fehlermeldungen oder gefälschte Anweisungen dazu verleitet, eigenhändig einen Terminal-Befehl auf ihrem System auszuführen. Dieser Vorgang initiiert die eigentliche Infektionskette, ohne dass klassische automatisierte Exploits erforderlich sind.
Nach Angaben der Sicherheitsforscher gliedert sich der Infektionsprozess in drei aufeinanderfolgende Stufen. Zunächst wird ein Shell-Skript ausgeführt, welches die Umgebung vorbereitet. Im zweiten Schritt folgt die Installation des eigentlichen Infostealers, bevor in der finalen Phase ein spezielles Stream-Modul zur Fernsteuerung aktiviert wird.
Umfang des Datendiebstahls und Fernsteuerung
Die Kernfunktion von AmnesiaStealer liegt im massiven Abgriff privater Nutzerdaten. Die Malware zielt unter anderem auf gespeicherte Passwörter und die Inhalte der macOS-Schlüsselverwaltung (Keychain) ab.
Die neue macOS-Malware AmnesiaStealer stiehlt Passwörter und übernimmt Browser-Sitzungen. Schützen Sie sich mit unserem kostenlosen Leitfaden – inklusive Checkliste gegen ClickFix-Fallen und Sofortmaßnahmen. Jetzt kostenlosen Schutz-Leitfaden anfordern
Darüber hinaus ist sie in der Lage, Daten aus Chromium-basierten Browsern sowie Cookies aus dem Safari-Browser zu extrahieren. Auch persönliche Informationen aus Apple Notes sowie aktive Sitzungsdaten des Messengers Telegram gehören zum Umfang der entwendeten Informationen.
Eine technologische Besonderheit stellt das integrierte Stream-Modul dar. Dieses ermöglicht es den Hintermännern, das Profil des Chromium-Browsers auf dem infizierten System zu klonen.
Anschließend wird der Browser im Hintergrund gestartet, wobei das Programm das Chrome DevTools Protocol nutzt. Dies erlaubt den Angreifern eine interaktive Live-Steuerung der Browser-Sitzungen, wodurch sie im Namen des Opfers auf Webdienste zugreifen können, ohne dass eine erneute Authentifizierung notwendig ist.
Im Rahmen der technischen Analyse identifizierten die Experten zudem den spezifischen Konfigurationsschlüssel 4mn3s1a_2o26!xK innerhalb des Programmcodes.
Wirksamkeit auf modernen Betriebssystemen
Gefälschte GitHub-Seiten verleiten Mac-Nutzer zu Terminal-Befehlen – mit schwerwiegenden Folgen. Unser Leitfaden zeigt, wie Sie solche Angriffe erkennen und Ihre Daten sichern. Leitfaden gegen macOS-Malware jetzt sichern
Trotz der gefährlichen Funktionalitäten stellten die Analysten fest, dass die Malware teilweise auf veraltete Techniken zur Verschleierung (Evasion) setzt. So nutzt die Software einen APFS-Snapshot aus dem Jahr 2020, um Entdeckungsmechanismen zu umgehen. Diese spezifische Methode erweist sich auf aktuellen Systemen wie macOS 26 als wirkungslos und schlägt dort fehl.
Sicherheitsexperten weisen jedoch darauf hin, dass dies die grundsätzliche Bedrohung nicht neutralisiert. Während die Verschleierungstechniken teilweise veraltet sein mögen, bleiben die Kernfunktionen für den Datendiebstahl und die Fernsteuerung des Browsers auf modernen macOS-Versionen hocheffektiv. Nutzer werden daher zur besonderen Vorsicht gemahnt, wenn sie auf unbekannten Webseiten zur Ausführung von Terminal-Befehlen aufgefordert werden.
