Um novo infostealer para macOS, batizado AmnesiaStealer, está a ser distribuído através de páginas falsas do GitHub que convencem a vítima a colar um comando no Terminal. A análise foi publicada a 13 de agosto de 2026 pela equipa Jamf Threat Labs, que descreve um malware escrito em Rust, com três fases distintas, capaz não só de roubar palavras-passe, dados do keychain, notas, documentos e carteiras de criptomoedas, como também de entregar ao operador o controlo interativo e invisível do navegador da vítima — com as sessões já autenticadas.
Resposta rápida: O AmnesiaStealer é um infostealer para macOS propagado por engenharia social do tipo ClickFix, a partir de uma página falsa do GitHub que pede à vítima para colar um comando no Terminal e introduzir a palavra-passe do Mac. Além de recolher credenciais, keychain, cookies e ficheiros, tem um módulo que clona o perfil do navegador e o abre em modo headless, dando ao atacante controlo em direto das sessões já iniciadas. A defesa mais eficaz é simples: nunca colar comandos copiados de páginas de descarregamento no Terminal e desconfiar de qualquer pedido de palavra-passe associado a uma “instalação”.
Uma página de GitHub que não descarrega nada
O ponto de entrada é puramente social. Os investigadores da Jamf Threat Labs descreveram um infostealer multifásico escrito em Rust, distribuído através de uma página de descarregamento do GitHub falsificada, com o tema escuro correto, o logótipo Octocat e um distintivo de “Verified Publisher”; em vez de um botão de descarregamento, a página pede ao visitante que cole um comando no Terminal. O sítio contrafeito foi identificado no domínio github.aoitour[.]com.
Esta técnica é conhecida como ClickFix e tem uma vantagem prática para o atacante: em vez de descarregar diretamente uma aplicação, o sítio manda a vítima abrir o Terminal, colar um comando e introduzir a palavra-passe do macOS para concluir aquilo que aparenta ser uma instalação — transferindo o esforço de execução para o próprio utilizador e dispensando um instalador malicioso convencional. O comando colado está codificado em Base64.
Não é um molde inédito. O mesmo modelo de página falsa do GitHub já tinha sido observado em campanhas do Atomic Stealer e do MacSync, o que indica que a infraestrutura de isco é partilhada por várias famílias de malware.
Três fases: descarregador, coletor e controlo remoto
A cadeia de infeção está segmentada. Segundo o investigador Thijs Xhaflaire, a primeira fase é um script de shell que descarrega e lança o payload; a segunda é o infostealer em Rust que recolhe o keychain, os navegadores, o Apple Notes e o Telegram; a terceira é um stream_module, obtido a pedido, que dá ao operador controlo interativo e oculto do navegador da vítima.
| Fase | Componente | O que faz |
|---|---|---|
| 1 | Script de shell (ClickFix) | Descarrega o arquivo ZIP protegido por palavra-passe e apaga-se do sistema |
| 2 | Binário Mach-O em Rust | Recolhe palavra-passe, keychain, navegadores, notas, documentos, Telegram e carteiras |
| 3 | stream_module | Obtido a pedido (remote_stream); controlo interativo do navegador em modo headless |
O script descarrega um arquivo ZIP protegido por palavra-passe e elimina-se do anfitrião; do arquivo é extraído o binário Mach-O da primeira etapa, um ladrão em Rust com uma configuração cifrada embutida que pode ser alterada ao nível da compilação sem mexer no código. A palavra-passe do arquivo é dulin, provavelmente para dificultar a inspeção automática, e o binário extraído recebe um nome de ficheiro oculto ao estilo Apple, no padrão /tmp/.com.apple.dt.<dígitos>, sendo apagado depois da execução.
Já dentro da máquina, o malware faz reconhecimento, pede ao utilizador a palavra-passe de sessão e valida-a localmente, copia os keychains de login e de proteção de dados e recolhe bases de dados de navegadores Chromium, Apple Notes e documentos. O pedido de palavra-passe é apresentado através de uma caixa de diálogo com aspeto nativo e a palavra-passe submetida acaba guardada em texto simples em ficheiros de estágio e em ~/.pwd.
O módulo que transforma o Mac num navegador do atacante
É a terceira fase que distingue esta família. O componente stream_module, obtido através do comando remote_stream, dá ao operador controlo remoto sobre sessões autenticadas a partir de uma instância de navegador em modo headless; segundo a Jamf, consegue duplicar perfis de utilizador em sete navegadores baseados em Chromium — Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave e Chromium — porque partilham o mesmo DevTools Protocol, os mesmos parâmetros de arranque e a mesma cifragem de cookies.
Na prática, o módulo lança o executável legítimo do navegador em modo headless com opções de linha de comandos que enfraquecem as defesas do navegador, duplica o perfil da vítima e indica onde guardar os dados desse perfil, estabelecendo depois um canal WebSocket para o retransmissor do operador. Os dados do perfil são clonados para ~/.local/share/.stream/profiles/<browser>. O resultado, descrito pela Jamf: “O operador recebe um screencast em direto da sessão a cerca de 3fps” e pode conduzi-la com teclado, rato, deslocamento, navegação e gestão de separadores, traduzidos em tempo real em chamadas CDP contra o navegador headless — uma sessão oculta operada manualmente, não um despejo automatizado.
Como a sessão clonada mantém o estado de autenticação, o atacante acede às sessões autenticadas preservando os identificadores associados ao navegador, ao anfitrião e à rede — o que reduz a probabilidade de acionar alertas de login anómalo ou novos pedidos de autenticação multifator. O módulo não tem persistência própria: corre de forma transitória sob o payload principal, reinicia o Chrome até um limite fixo e termina quando o retransmissor cai; na prática, o comando remote_stream transforma o anfitrião infetado num navegador operado à distância com as sessões autenticadas da vítima, um nível de acesso materialmente diferente da mera recolha de ficheiros.
Persistência, evasões antigas e anti-forense
A persistência é garantida por um LaunchDaemon de raiz que se faz passar por um componente de relato de falhas da Apple: o plist é escrito em /tmp/starter e depois instalado e arrancado com a palavra-passe obtida por phishing, com KeepAlive, RunAtLoad e SessionCreate definidos. No fim, o malware executa sh -c history -c, remove os artefactos temporários e apaga o próprio binário.
Nem tudo funciona. O AmnesiaStealer tenta ainda duas evasões ao framework TCC (Transparency, Consent and Control) para obter cookies do Safari e acesso total ao disco, mas várias dessas tentativas assentam em técnicas que a Apple corrigiu há anos, incluindo uma evasão por snapshot APFS de 2020; em versões modernas do macOS falham em larga medida, e os próprios registos de depuração do malware registam essas falhas — ainda que o roubo de credenciais e de sessões de navegador continue a funcionar. A vulnerabilidade histórica em causa é a CVE-2020-9771, usada numa das duas tentativas de evasão ao TCC.
Há ainda um efeito colateral relevante para quem tenta recuperar depois: o malware sobrepõe a chave Safe Storage no keychain de login para os navegadores Chromium visados, permitindo ao atacante decifrar palavras-passe e cookies guardados no futuro e tornando as credenciais previamente guardadas irrecuperáveis pelo utilizador.
Indicadores e infraestrutura
| Tipo | Indicador |
|---|---|
| Página de isco | github.aoitour[.]com |
| Servidor C2 / painel | debug.allllowef[.]space (“Amnesia Panel”) |
| Cabeçalho de exfiltração | X-API-Key: 86770e8759abf2dad9ae85f5e11a25e9 |
| Endpoints | /api/bot/join, /api/bot/actions?build_id=se&bot_id=<id>, /send/ |
| Chave de configuração | 4mn3s1a_2o26!xK |
| Ficheiros | /tmp/.com.apple.dt.<dígitos>, /tmp/starter, ~/.pwd, ~/.local/share/.stream/profiles/ |
A exfiltração é autenticada com o cabeçalho X-API-Key retirado da configuração cifrada; o registo é feito em /api/bot/join, as tarefas são consultadas em /api/bot/actions e os dados recolhidos são enviados para /send/. Na raiz do anfitrião C2 é servida uma página de autenticação intitulada “Amnesia Panel” — o mesmo anfitrião que serve a API dos bots, o arquivo do payload e o ponto de carregamento — e um login falhado devolve uma mensagem de erro em russo.
O que fazer, em concreto
- Nunca colar no Terminal comandos copiados de páginas de descarregamento, vídeos ou mensagens — e desconfiar de qualquer “verificação” que exija a palavra-passe do Mac.
- Instalar software apenas a partir da App Store ou do sítio oficial do fabricante, validando o domínio.
- Manter o macOS atualizado, uma vez que várias das evasões usadas dependem de falhas já corrigidas.
- Em caso de suspeita: revogar sessões ativas e tokens em todos os serviços críticos, mudar palavras-passe a partir de outro dispositivo e rever LaunchDaemons e LaunchAgents não reconhecidos.
- Nas organizações, vigiar a criação de LaunchDaemons suspeitos, arranques de navegadores com parâmetros de depuração remota e tráfego para servidores desconhecidos.
Porque é que isto importa em Portugal
O roubo de informação deixou de ser um problema de nicho. Em comunicado divulgado a 4 de novembro de 2025, o Centro Nacional de Cibersegurança alertou para a ameaça crescente dos infostealers, referindo que “em 2025, cerca de 80% do código malicioso detetado pelo CERT.PT foi do tipo infostealer”, e sublinhando que estes reduzem o custo inicial de intrusão nas infraestruturas digitais e põem em causa boas práticas como o uso de palavras-passe fortes. Entre as recomendações then divulgadas contam-se a navegação anónima por defeito, a remoção periódica de cookies e tokens, a limitação do autopreenchimento, evitar guardar credenciais no browser, não descarregar software de páginas de origem duvidosa e usar autenticação multifator. O caso do AmnesiaStealer mostra bem porque é que a última recomendação, isoladamente, não chega: quando o atacante rouba a sessão já autenticada, o segundo fator já foi consumido.
Para as PME e organizações portuguesas há duas leituras. A primeira é de conformidade: a exfiltração de keychain, documentos e sessões de correio eletrónico configura tipicamente uma violação de dados pessoais, com as obrigações de avaliação e eventual notificação à CNPD previstas no RGPD. A segunda é organizacional: com o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), as entidades abrangidas passam a ter de demonstrar medidas de gestão de risco e de resposta a incidentes — e o controlo de dispositivos macOS, muitas vezes fora do perímetro tradicional de gestão, é precisamente um dos pontos cegos que campanhas ClickFix exploram. A formação dos utilizadores para não executarem comandos de terceiros no Terminal vale, aqui, tanto como qualquer agente de segurança instalado.
Perguntas frequentes
O AmnesiaStealer explora alguma vulnerabilidade do macOS?
A infeção inicial não depende de qualquer falha: assenta em engenharia social, com o utilizador a colar voluntariamente um comando no Terminal. O malware tenta depois evasões ao TCC baseadas em falhas antigas, incluindo a CVE-2020-9771, que a Apple já corrigiu e que, segundo a Jamf, falham em versões modernas do macOS.
A autenticação multifator protege contra este ataque?
Não totalmente. Como o módulo de streaming clona um perfil já autenticado e o abre num navegador oculto, preservando identificadores de navegador, anfitrião e rede, a sessão pode ser usada sem novo pedido de segundo fator. A mitigação passa por revogar sessões e tokens logo que exista suspeita de compromisso.
Que navegadores estão em risco?
A Jamf indica que o componente de controlo remoto consegue duplicar perfis em sete navegadores baseados em Chromium, entre os quais Chrome, Edge, Brave, Opera, Vivaldi, Arc e Chromium. A recolha de dados abrange um universo mais alargado de navegadores Chromium, e há ainda tentativas de acesso a cookies do Safari.
Como saber se um Mac foi comprometido?
Procure LaunchDaemons de raiz que imitem componentes de relato de falhas da Apple, ficheiros como ~/.pwd ou diretórios em ~/.local/share/.stream/, arranques de navegadores com parâmetros de depuração remota e ligações a infraestrutura desconhecida. Perante indícios, isole o equipamento, altere credenciais a partir de outro dispositivo e reporte o incidente ao CERT.PT.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Jamf Threat Labs e pelo Centro Nacional de Cibersegurança (CNCS/CERT.PT).