GhostProfile, il malware per macOS che clona i profili del browser

• Moonlock Lab ha scoperto GhostProfile, malware per macOS che clona i profili di Chrome e Firefox
• L'operatore usa le sessioni già autenticate della vittima in un browser nascosto, senza nuovo login
• Persistenza tramite falso LaunchAgent di aggiornamento; funziona anche da loader
• Isolare i Mac sospetti, revocare le sessioni e cambiare le credenziali da un dispositivo fidato

Moonlock Lab ha reso noto il 12 ottobre 2026 un nuovo malware per macOS, battezzato GhostProfile. Il campione è stato condiviso da MalwareHunterTeam. Il codice clona il profilo di Chrome o Firefox e permette a un operatore remoto di controllare una copia nascosta del browser, con i login attivi della vittima.

Come funziona

I classici malware hVNC (hidden Virtual Network Computing) creano un desktop nascosto. GhostProfile segue un’altra strada: costruisce un clone temporaneo del profilo del browser e lo pilota con Chrome DevTools Protocol (CDP) e WebDriver BiDi. L’operatore naviga quindi con i cookie prelevati dal Mac infetto. Può raggiungere account la cui sessione è ancora valida, senza una nuova autenticazione.

Il browser normale della vittima può restare aperto. L’attività avviene altrove e dallo schermo è più difficile accorgersene.

Per nascondersi, la finestra viene spostata in coordinate molto fuori dall’area visibile. Il malware modifica anche il flag di automazione del browser e falsifica le informazioni su WebGL e plugin. Secondo l’analisi, serve a rendere meno evidente la navigazione automatizzata. Non è dimostrato che ogni sito accetti il camuffamento.

L’operatore riceve screenshot JPEG e può inviare clic e input da tastiera simulati. Moonlock riferisce che il browser controllato ottiene permessi per fotocamera, microfono, posizione, notifiche e appunti. Non è provato che siano stati usati tutti contro vittime reali.

Infezione e persistenza

La catena parte da un breve comando di shell che passa il contenuto scaricato a zsh. Lo script scarica l’agente, rimuove il marcatore di quarantena, colloca il payload nella cartella Download e registra un falso LaunchAgent di aggiornamento di sistema. Le impostazioni RunAtLoad e KeepAlive garantiscono avvio automatico e funzionamento continuo.

GhostProfile prende di mira i browser della famiglia Chromium e Firefox. Esamina i cookie store con strumenti SQLite e legge gli appunti tramite l’interfaccia NSPasteboard. Nel codice sono presenti un banner hVNC leggibile, una chiave precondivisa predefinita e cartelle di lavoro temporanee, cancellate all’uscita.

Una funzione di upload ed esecuzione lo rende anche un loader. L’operatore può inviare un archivio ZIP o un’immagine disco: l’agente li estrae o li monta, individua un’applicazione, rimuove la quarantena e la avvia. Moonlock non ha identificato una famiglia di malware successiva confermata.

Cosa non è dimostrato

Nel thread iniziale i ricercatori hanno descritto il campione come apparentemente non rilevato. Questo non implica che eluda tutti gli antivirus: lo script di consegna era già rilevabile. Il comportamento ricorda quello di AmnesiaStealer, ma la fonte precisa che non c’è prova di sviluppatori, infrastruttura o codice in comune. Resta inoltre da verificare che ogni sessione clonata resti utilizzabile e che i controlli di autenticazione aggiuntivi possano essere aggirati.

Cosa fare

• Cercare copie anomale dei profili del browser e avvii di browser nascosti.
• Verificare i LaunchAgent di “aggiornamento” sconosciuti, controllandone percorso e comportamento, non solo il nome.
• Controllare le connessioni verso l’infrastruttura segnalata.
• Isolare i Mac sospetti e conservare le prove.
• Revocare le sessioni esposte e cambiare le credenziali da un dispositivo affidabile: il solo reset della password non basta a interrompere l’accesso.

Fonte: Cyber Security News · Foto: Cyber Security News