ظهر تهديد إلكتروني جديد يستهدف مستخدمي أجهزة Mac يحمل اسم AmnesiaStealer. ويشكل خطرًا يتجاوز سرقة كلمات المرور التقليدية، إذ يستطيع البرنامج الخبيث سرقة بيانات جلسات تسجيل الدخول النشطة واستنساخ حالة المتصفح. ما قد يسمح للمهاجم بالوصول إلى حسابات سبق تسجيل الدخول إليها والتعامل معها كما لو كان المستخدم هو صاحبها.
AmnesiaStealer.. تهديد يتجاوز سرقة كلمات المرور
وفقًا لتقرير نشره موقع BleepingComputer المتخصص في الأمن السيبراني، لا يقتصر عمل AmnesiaStealer على جمع كلمات المرور، بل يستطيع نسخ بيانات المصادقة المرتبطة بمتصفح المستخدم.
وتسمح هذه الطريقة للمهاجم باستغلال الجلسات المفتوحة بالفعل. وهو ما يجعل تغيير كلمة المرور وحده في بعض الحالات غير كافٍ لحماية الحساب إذا ظلت الجلسة المستنسخة صالحة.
البرمجية تستنسخ هوية المتصفح
تعتمد البرمجية الخبيثة على نسخ ملف تعريف متصفح Chromium. بما يتضمن حالة المصادقة، ثم تشغيل البيانات المسروقة داخل متصفح خفي على الجهاز المصاب.
وبهذه الطريقة، يمكن للجلسة المستنسخة الاحتفاظ بمعلومات مرتبطة بالمتصفح والجهاز والشبكة، ما يمنح المهاجم قدرة أكبر على استخدام الحسابات التي كانت مفتوحة على جهاز الضحية.
16 متصفحًا وبيانات حساسة تحت التهديد
يستطيع AmnesiaStealer جمع بيانات من 16 متصفحًا مبنيًا على Chromium. كما يستهدف مجموعة واسعة من المعلومات الحساسة.
وتشمل البيانات التي يمكن للبرمجية محاولة سرقتها كلمات المرور، ومحافظ العملات المشفرة، وملاحظات Apple، والمستندات، وبيانات Keychain الخاصة بنظام macOS، إضافة إلى جلسات تطبيق Telegram.
وهذا يجعل الإصابة بالبرمجية أكثر خطورة من مجرد تسريب كلمة مرور واحدة. بسبب إمكانية الوصول إلى مجموعة كبيرة من البيانات والحسابات المخزنة على الجهاز.
صفحات GitHub مزيفة وراء انتشار البرمجية
ينتشر AmnesiaStealer من خلال صفحات تنزيل مزيفة تحاكي منصة GitHub، في محاولة لإقناع المستخدم بتنزيل ملف يبدو موثوقًا.
وتستخدم الحملة أسلوبًا يعرف باسم ClickFix، يعتمد على إقناع الضحية بتنفيذ أمر على جهازه بحجة إصلاح مشكلة تقنية أو إتمام عملية معينة.
وبعد تنفيذ الخطوات المطلوبة، يتم تنزيل ملف مضغوط محمي بكلمة مرور وتشغيل الحمولة الخبيثة على الجهاز.
لماذا لا يكفي تغيير كلمة المرور؟
تكمن خطورة AmnesiaStealer في أن المهاجم قد لا يعتمد فقط على كلمة المرور المسروقة. وإنما يستطيع الاستفادة من جلسة تسجيل الدخول المستنسخة.
وبالتالي، فإن تغيير كلمة المرور قد لا يكون كافيًا في حال ظلت الجلسة المخترقة نشطة، وهو ما يجعل إنهاء الجلسات المفتوحة ومراجعة الأجهزة المرتبطة بالحسابات خطوة مهمة بعد الاشتباه في الإصابة.
كما أن قدرة المهاجم على التحكم التفاعلي في المتصفح قد تسمح له بالتنقل بين الحسابات ونسخ البيانات في الوقت الحقيقي، بدلًا من الاكتفاء بالحصول على ملف يحتوي على كلمات المرور المسروقة.