Nach der Ausführung führt AmnesiaStealer zunächst eine Aufklärung des Systems durch. Danach fordert die Malware den Nutzer auf, sein Anmeldepasswort einzugeben, und prüft dieses lokal. Anschließend kopiert sie den Login-Schlüsselbund sowie Schlüsselbunde für den Datenschutz und sammelt Datenbanken Chromium-basierter Browser, Apple-Notizen und Dokumente ein.
Zusätzlich versucht die Schadsoftware laut Jamf zwei Umgehungen des TCC-Frameworks für Transparenz, Einwilligung und Kontrolle, um an Safari-Cookies zu gelangen und vollständigen Festplattenzugriff zu erhalten. Für den Diebstahl von Safari-Cookies und den Zugriff auf die TCC-Datenbank nutzt sie eine alte TCC-Umgehung mit der Kennung CVE-2020-9771. Unter macOS 26 funktioniert dieser Angriff laut Jamf allerdings nur dann, wenn Terminal oder der Malware-Prozess bereits über vollständigen Festplattenzugriff verfügen.
Im Fokus stehen sechs Chromium-basierte Browser, darunter Chrome, Brave, Arc und Edge. Jamf beobachtete, dass AmnesiaStealer den browserspezifischen Safe-Storage-Schlüssel im Login-Schlüsselbund mit einem von den Angreifern kontrollierten Wert überschreibt. Bereits zuvor gespeicherte Passwörter und Cookies werden dadurch unwiederbringlich. Wie Jamf erläutert, nimmt die Malware diesen Verlust in Kauf: Da sie unter macOS 26 den vorhandenen Schlüssel nicht wiederherstellen kann, ersetzt sie die gespeicherten Daten des Opfers durch einen Schlüssel, den der Operator bereits kennt. Alles, was danach verschlüsselt wird, kann auf Seite des Operators wieder entschlüsselt werden.
Besonders auffällig ist die dritte Stufe der Infektionskette. Erhält die Malware den Befehl remote_stream, lädt sie ein Stream-Modul herunter und startet es. Dieses Modul klont das Browser-Profil des Opfers und öffnet es kopflos, um den Angreifern vollständige Kontrolle über die Browsersitzung zu geben.
Das abschließende Stream-Modul ist laut Jamf eine interaktive Fernsteuerungskomponente, die das Chrome DevTools Protocol (CDP) nutzt, um eine kopflose Kopie des Browsers zu starten. So entsteht ein Relaiskanal, über den die Angreifer die Browsersitzung des Opfers steuern können. Jamf beschreibt, dass der Operator eine Live-Bildübertragung der Sitzung mit rund drei Bildern pro Sekunde erhält und ein vollständiges Eingabeset zur Verfügung hat: Tastatur, Maus, Scrollen, Navigation und Tab-Verwaltung. Diese Eingaben würden in Echtzeit in CDP-Aufrufe gegen den kopflosen Browser umgesetzt. Es handle sich damit nicht um einen automatisierten Datenabzug, sondern um eine verborgene Browsersitzung mit direkter Bedienung.
Jamf ordnet AmnesiaStealer als mehrstufigen, in Rust entwickelten Infostealer ein, dessen Ziele sich mit bekannten macOS-Familien wie Atomic (AMOS), MacSync und CrashStealer überschneiden. Abgesetzt werde er jedoch durch seine builder-gesteuerte Konfiguration, die nach macOS-Version verzweigte Angriffslogik und die nachladbare Fernsteuerungsstufe für Browser-Sitzungen.