Pengguna Mac kembali jadi sasaran serangan siber baru. Kali ini sebuah malware bernama AmnesiaStealer dilaporkan tidak cuma mencuri data kredensial, tapi juga mampu mengambil alih kendali sesi browser korban secara jarak jauh. Peneliti keamanan menemukan malware berbasis Rust ini tersebar lewat skema ClickFix — trik yang memancing korban menempelkan perintah berbahaya langsung ke Terminal.
Dikutip dari SecurityWeek, laporan dari Jamf menyebut AmnesiaStealer didistribusikan melalui halaman unduhan GitHub palsu. Korbannya diarahkan untuk menyalin dan menempel perintah ke aplikasi Terminal, dan dari situlah rantai infeksi tiga tahap dimulai.
Cara Kerja Rantai Infeksi AmnesiaStealer
AmnesiaStealer bekerja dalam tiga tahap. Pertama, sebuah shell script dijalankan untuk mengunduh dan mengeksekusi payload utama. Setelah infostealer aktif, malware mulai memanen data dari perangkat korban. Tahap ketiga baru diaktifkan lewat perintah — saat penyerang mengirimkan instruksi remote_stream, malware mengunduh modul tambahan untuk mengambil alih kendali browser.
Korban biasanya tidak sadar sedang dieksploitasi. Setelah dieksekusi, malware melakukan pengintaian menyeluruh, lalu meminta pengguna memasukkan kata sandi login dan memvalidasinya secara lokal. Dari sini, AmnesiaStealer menyalin keychain login dan keychain perlindungan data, memanen basis data browser berbasis Chromium, catatan Apple Notes, serta dokumen penting di perangkat.
Data Apa Saja yang Dicuri?
Target utama AmnesiaStealer adalah kredensial dan data tersimpan pada browser. Malware menyasar enam browser berbasis Chromium, termasuk Chrome, Brave, Arc, dan Edge. Fakta yang lebih mengkhawatirkan, malware ini menimpa kunci Safe Storage di keychain login dengan nilai yang dikendalikan penyerang — sehingga kata sandi dan cookie yang tersimpan sebelumnya jadi tidak bisa dipulihkan lagi.
Praktik ini menyoroti pentingnya pemahaman soal keamanan data digital. Ketika penyerang berhasil menukar kunci enkripsi dengan miliknya sendiri, semua data yang terenkripsi setelahnya bisa didekripsi dari sisi operator. Ini bukan sekadar pencurian sesaat, melainkan perampasan akses jangka panjang yang sulit diperbaiki oleh pengguna awam.
Memanfaatkan Celah TCC untuk Akses Penuh
Untuk mencuri cookie Safari dan mengakses basis data TCC (Transparency, Consent, and Control), AmnesiaStealer memanfaatkan celah lama bernama CVE-2020-9771. Pada macOS 26, serangan ini hanya berhasil jika Terminal atau proses malware sudah memiliki akses Full Disk. Setelah berhasil, malware mengarsipkan seluruh data curian dan mengirimkannya ke server command-and-control (C&C), lalu memasang LaunchDaemon agar tetap bertahan di sistem.
Bagi yang ingin memahami lebih dalam soal lapisan pertahanan, konsep cybersecurity fondasi yang relevan untuk membentengi perangkat dari ancaman semacam ini — mulai dari prinsip keamanan dasar hingga strategi defense in depth yang membatasi pergerakan malware begitu berhasil masuk.
Kontrol Penuh Sesi Browser: Ancaman Paling Berbahaya
Keunikan AmnesiaStealer terletak pada modul kendali jarak jauhnya. Saat menerima perintah remote_stream, malware mengunduh dan menjalankan modul stream yang mengkloning profil browser korban lalu meluncurkannya secara headless. Penyerang kemudian memakai Chrome DevTools Protocol (CDP) untuk membangun kanal relai dan mengendalikan sesi browser korban secara langsung.
Operator bahkan menerima siaran langsung layar dengan kecepatan sekitar 3fps dan bisa menggerakkan keyboard, mouse, scroll, navigasi, hingga manajemen tab secara real-time. Inilah yang membuat ancaman ini berbeda — bukan sekadar dump otomatis, melainkan sesi browser tersembunyi yang dioperasikan langsung oleh manusia di balik layar.
Kondisi ini mempertegas urgensi pendekatan Zero Trust Security dan passwordless authentication. Mengandalkan kata sandi semata makin terbukti rapuh ketika penyerang bisa memegang kendali penuh atas sesi login yang masih aktif.
Cara Melindungi Mac dari Serangan Serupa
Ada beberapa langkah sederhana yang bisa dilakukan untuk menekan risiko terpapar AmnesiaStealer dan malware sejenis:
- Jangan pernah menempel perintah ke Terminal dari situs yang tidak dikenal, terutama yang mengaku menyediakan unduhan software populer.
- Unduh aplikasi hanya dari sumber resmi seperti App Store atau situs pengembang terverifikasi.
- Aktifkan Gatekeeper dan System Integrity Protection (SIP) agar aplikasi tak dikenal terblokir.
- Perbarui macOS secara rutin untuk menutup celah keamanan seperti CVE-2020-9771.
- Waspadai izin Full Disk Access yang diminta aplikasi — berikan hanya jika benar-benar perlu.
Meski serangan ini menargetkan pengguna Mac, kewaspadaan yang sama berlaku lintas platform. Skema ClickFix dan halaman unduhan palsu adalah pola umum yang terus berulang, dan pemahaman dasar soal phishing menjadi benteng pertama yang paling efektif bagi pengguna rumahan maupun profesional.
Leave a Comment