AMOS kradnie dane z Maców przez fałszywą instrukcję instalacji „macOS toolkit”

Unit 42 opisał infekcję Atomic macOS Stealer (AMOS), którą 5 sierpnia 2026 roku wywołał w środowisku laboratoryjnym. Źródłem była strona getmacouscloud[.]com z instrukcją instalacji rzekomego „macOS toolkit”. Zamiast narzędzia instalowało się złośliwe oprogramowanie. AMOS wykrada z komputerów Mac informacje o systemie, dane logowania i inne wrażliwe dane z aplikacji, w tym z przeglądarek i portfeli kryptowalut.

Program był reklamowany na Telegramie już w kwietniu 2024 roku i stanowi zauważalną część złośliwego oprogramowania kradnącego dane z macOS. Rozchodzi się przez kampanie ClickFix i złośliwe reklamy. Trafia też na strony oferujące złamane wersje popularnego, płatnego oprogramowania.

Według Unit 42 wskaźniki związane z AMOS stale się zmieniają, a opublikowany zestaw pokazuje stan z początku sierpnia 2026. Instrukcje „quick setup” z tej strony bywają nazywane ClickFix, choć zdaniem autorów nim nie są. ClickFix posługuje się fałszywą weryfikacją, na przykład CAPTCHA, i wkleja do schowka skrypt, który użytkownik ma uruchomić w oknie Uruchom w Windows albo w Terminalu na macOS.