Nach der Analyse von Jamf startet der bei ClickFix angezeigte Befehl einen Shell-Skript-Loader, der ein passwortgeschütztes Archiv herunterlädt und daraus die Mach-O-Nutzlast von AmnesiaStealer startet. Die Malware erfasst das macOS-Passwort des Opfers und nutzt es, um Schlüsselbund-Daten sowie Browser-Profile, Apple Notes, Telegram-Sitzungen, Dokumente, Systeminformationen und Daten zu Kryptowallets zu sammeln.
Insgesamt kann AmnesiaStealer laut den Forschern Daten aus 16 Chromium-basierten Browsern abziehen. Dazu zählen Cookies, gespeicherte Anmeldedaten, Browserverlauf, Lesezeichen, Erweiterungen, lokale Statusdaten und weitere Profildaten. Zusätzlich stiehlt die Malware Details zu Kryptowallets und identifiziert diese, indem sie Erweiterungen und IndexedDB-Daten auflistet.
Besonders auffällig ist eine Komponente namens stream_module, die über den Befehl remote_stream nachgeladen wird. Sie gibt dem Operator eine Fernsteuerung über authentifizierte Sitzungen, die aus einer kopflosen Browser-Instanz heraus betrieben werden. Jamf zufolge kann das Modul Nutzerprofile in sieben Chromium-basierten Browsern duplizieren: Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave und Chromium. Möglich sei das, weil diese Browser dasselbe DevTools-Protokoll, dieselben Startparameter und dieselbe Cookie-Verschlüsselung teilen.
Das Modul startet die legitime Browser-Anwendung im Headless-Modus mit Kommandozeilenoptionen, die Schutzmechanismen des Browsers abschwächen. Anschließend dupliziert es das Profil des Opfers und legt den Speicherort für die Profildaten fest. Danach baut die Malware einen WebSocket-Kanal zum Relay des Operators auf und sendet eine JSON-Registrierungsnachricht mit Browsername und Build.
Über diesen Kanal kann der Angreifer Befehle wie Navigation und Mausklicks senden. Die Malware liefert im Gegenzug Status- und Tab-Informationen als JSON zurück und überträgt Screencast-Bilder als binäre WebSocket-Nachrichten. Ein zweiter WebSocket-Kanal verbindet sich mit der lokalen kopflosen Chromium-Instanz über die webSocketDebuggerUrl des Browsers und verschafft Zugriff auf das Chrome DevTools Protocol. Dadurch kann der Angreifer Webseiten mit Maus- und Tastatursteuerung bedienen, Cookies exportieren oder importieren und Online-Portale mit den bereits authentifizierten Sitzungen des Opfers nutzen.
Jamf beschreibt die Wirkung so: „Der Operator erhält einen Live-Screencast der Sitzung mit rund 3 Bildern pro Sekunde und kann sie mit vollständigen Eingabemöglichkeiten steuern: Tastatur, Maus, Scrollen, Navigation und Tab-Verwaltung.“ Weiter heißt es: „Praktisch verwandelt der Befehl remote_stream einen infizierten Rechner in einen live durch den Operator gesteuerten Browser, der mit den authentifizierten Sitzungen des Opfers läuft. Das ist ein deutlich anderes Zugriffsniveau als bloßes Einsammeln von Dateien.“
Laut Jamf enthält AmnesiaStealer zudem einen Ausweichmechanismus für macOS 26, wenn sich der vorhandene Chrome-Safe-Storage-Schlüssel nicht wiederherstellen lässt. In diesem Fall ersetzt die Malware ihn durch einen vom Angreifer gelieferten Wert. Dadurch werden zuvor gespeicherte Cookies und Passwörter dauerhaft unlesbar, während der Angreifer die Daten später entschlüsseln kann.
Die Forscher weisen darauf hin, dass das Chrome DevTools Protocol bereits früher von Malware missbraucht wurde, etwa von Chaos-Ransomware zum Verbergen von Command-and-Control-Kommunikation und von Chaes-Malware zum Freilegen von Browser-Funktionen für Datendiebstahl. AmnesiaStealer sei jedoch offenbar die erste dokumentierte macOS-Malware, die ein geklontes Chromium-Profil mit CDP-basierter Live-Fernsteuerung kombiniert und so die Interaktion mit authentifizierten Sitzungen über einen versteckten Browser auf dem infizierten Rechner ermöglicht.