برنامج PamStealer الخبيث: تهديد جديد يستهدف مستخدمي ماك عبر تطبيق Maccy المزيف
برنامج PamStealer هو برنامج خبيث من نوع Infostealer مكون من مرحلتين، تم توثيقه لأول مرة بواسطة Jamf Threat Labs في 2 يوليو 2026، ويستخدم Apple PAM للتحقق من صحة كلمات المرور المسروقة محليًا، متجاهلاً الأخطاء المطبعية ينتشر البرنامج عبر موقع مزيف (maccyapp.com) ينتحل صفة تطبيق Maccy المشروع لإدارة الحافظة، ويوزع ملف...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
برنامج PamStealer هو برنامج خبيث من نوع Infostealer مكون من مرحلتين، تم توثيقه لأول مرة بواسطة Jamf Threat Labs في 2 يوليو 2026، ويستخدم Apple PAM للتحقق من صحة كلمات المرور المسروقة محليًا، متجاهلاً الأخطاء المطبعية
ينتشر البرنامج عبر موقع مزيف (maccyapp.com) ينتحل صفة تطبيق Maccy المشروع لإدارة الحافظة، ويوزع ملف AppleScript في صورة قرص DMG
بعد تشغيل الضحية للملف، يقوم البرنامج بتحميل حمولة ثانية مكتوبة بلغة Rust لجمع كلمات مرور الدخول وبيانات المتصفح ومحتويات الحافظة ومحافظ العملات الرقمية
تشمل مؤشرات الإصابة ظهور عملية Finder ثانية في 'مراقب النشاط' وإدخالات مشبوهة في 'عناصر تسجيل الدخول' بأسماء نظامية
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
اكتشف باحثو الأمن السيبراني في Jamf Threat Labs في 2 يوليو 2026 برنامجًا خبيثًا جديدًا من نوع سارق المعلومات (Infostealer) يُدعى PamStealer، وهو يستهدف مستخدمي أجهزة Mac بطريقة احتيالية متطورة. يتميز هذا البرنامج بقدرته على التحقق من صحة كلمة المرور التي يدخلها الضحية محليًا باستخدام نظام Apple الخاص (Pluggable Authentication Modules - PAM) قبل سرقتها، مما يضمن للمهاجمين الحصول على بيانات اعتماد صالحة وفعالة فقط، متجاهلاً أي أخطاء إملائية أو كلمات مرور وهمية .
كيف يصيب PamStealer الضحايا عبر انتحال النطاق؟
يتم توزيع البرنامج الخبيث من موقع إلكتروني مزيف يستخدم اسم نطاق مشابه لاسم التطبيق الأصلي وهو ، حيث ينتحل صفة تطبيق الشرعي والمشهور لإدارة الحافظة. التطبيق الأصلي متاح فقط من موقعه الرسمي ، أو عبر Homebrew، أو من مستودعه الرسمي على GitHub . يحذر الموقع الرسمي صراحةً المستخدمين من هذه المواقع المقلدة .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "برنامج PamStealer الخبيث: تهديد جديد يستهدف مستخدمي ماك عبر تطبيق Maccy المزيف"؟
برنامج PamStealer هو برنامج خبيث من نوع Infostealer مكون من مرحلتين، تم توثيقه لأول مرة بواسطة Jamf Threat Labs في 2 يوليو 2026، ويستخدم Apple PAM للتحقق من صحة كلمات المرور المسروقة محليًا، متجاهلاً الأخطاء المطبعية
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
برنامج PamStealer هو برنامج خبيث من نوع Infostealer مكون من مرحلتين، تم توثيقه لأول مرة بواسطة Jamf Threat Labs في 2 يوليو 2026، ويستخدم Apple PAM للتحقق من صحة كلمات المرور المسروقة محليًا، متجاهلاً الأخطاء المطبعية ينتشر البرنامج عبر موقع مزيف (maccyapp.com) ينتحل صفة تطبيق Maccy المشروع لإدارة الحافظة، ويوزع ملف AppleScript في صورة قرص DMG
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
بعد تشغيل الضحية للملف، يقوم البرنامج بتحميل حمولة ثانية مكتوبة بلغة Rust لجمع كلمات مرور الدخول وبيانات المتصفح ومحتويات الحافظة ومحافظ العملات الرقمية
برنامج PamStealer الخبيث: تهديد جديد يستهدف مستخدمي ماك عبر تطبيق Maccy المزيف
برنامج PamStealer هو برنامج خبيث من نوع Infostealer مكون من مرحلتين، تم توثيقه لأول مرة بواسطة Jamf Threat Labs في 2 يوليو 2026، ويستخدم Apple PAM للتحقق من صحة كلمات المرور المسروقة محليًا، متجاهلاً الأخطاء المطبعية ينتشر البرنامج عبر موقع مزيف (maccyapp.com) ينتحل صفة تطبيق Maccy المشروع لإدارة الحافظة، ويوزع ملف...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
برنامج PamStealer هو برنامج خبيث من نوع Infostealer مكون من مرحلتين، تم توثيقه لأول مرة بواسطة Jamf Threat Labs في 2 يوليو 2026، ويستخدم Apple PAM للتحقق من صحة كلمات المرور المسروقة محليًا، متجاهلاً الأخطاء المطبعية
ينتشر البرنامج عبر موقع مزيف (maccyapp.com) ينتحل صفة تطبيق Maccy المشروع لإدارة الحافظة، ويوزع ملف AppleScript في صورة قرص DMG
بعد تشغيل الضحية للملف، يقوم البرنامج بتحميل حمولة ثانية مكتوبة بلغة Rust لجمع كلمات مرور الدخول وبيانات المتصفح ومحتويات الحافظة ومحافظ العملات الرقمية
تشمل مؤشرات الإصابة ظهور عملية Finder ثانية في 'مراقب النشاط' وإدخالات مشبوهة في 'عناصر تسجيل الدخول' بأسماء نظامية
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
اكتشف باحثو الأمن السيبراني في Jamf Threat Labs في 2 يوليو 2026 برنامجًا خبيثًا جديدًا من نوع سارق المعلومات (Infostealer) يُدعى PamStealer، وهو يستهدف مستخدمي أجهزة Mac بطريقة احتيالية متطورة. يتميز هذا البرنامج بقدرته على التحقق من صحة كلمة المرور التي يدخلها الضحية محليًا باستخدام نظام Apple الخاص (Pluggable Authentication Modules - PAM) قبل سرقتها، مما يضمن للمهاجمين الحصول على بيانات اعتماد صالحة وفعالة فقط، متجاهلاً أي أخطاء إملائية أو كلمات مرور وهمية .
كيف يصيب PamStealer الضحايا عبر انتحال النطاق؟
يتم توزيع البرنامج الخبيث من موقع إلكتروني مزيف يستخدم اسم نطاق مشابه لاسم التطبيق الأصلي وهو ، حيث ينتحل صفة تطبيق الشرعي والمشهور لإدارة الحافظة. التطبيق الأصلي متاح فقط من موقعه الرسمي ، أو عبر Homebrew، أو من مستودعه الرسمي على GitHub . يحذر الموقع الرسمي صراحةً المستخدمين من هذه المواقع المقلدة .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "برنامج PamStealer الخبيث: تهديد جديد يستهدف مستخدمي ماك عبر تطبيق Maccy المزيف"؟
برنامج PamStealer هو برنامج خبيث من نوع Infostealer مكون من مرحلتين، تم توثيقه لأول مرة بواسطة Jamf Threat Labs في 2 يوليو 2026، ويستخدم Apple PAM للتحقق من صحة كلمات المرور المسروقة محليًا، متجاهلاً الأخطاء المطبعية
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
برنامج PamStealer هو برنامج خبيث من نوع Infostealer مكون من مرحلتين، تم توثيقه لأول مرة بواسطة Jamf Threat Labs في 2 يوليو 2026، ويستخدم Apple PAM للتحقق من صحة كلمات المرور المسروقة محليًا، متجاهلاً الأخطاء المطبعية ينتشر البرنامج عبر موقع مزيف (maccyapp.com) ينتحل صفة تطبيق Maccy المشروع لإدارة الحافظة، ويوزع ملف AppleScript في صورة قرص DMG
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
بعد تشغيل الضحية للملف، يقوم البرنامج بتحميل حمولة ثانية مكتوبة بلغة Rust لجمع كلمات مرور الدخول وبيانات المتصفح ومحتويات الحافظة ومحافظ العملات الرقمية
عند زيارة الضحية للموقع المزيف، يتم تقديم ملف صورة قرص (.dmg) يحتوي على ملف AppleScript مُجمَّع باسم Maccy.scpt. من المهم ملاحظة أن تطبيق Maccy الأصلي لم يوزع أبدًا على شكل DMG؛ بل يتم توزيعه فقط كملف Maccy.app.zip.
عند النقر المزدوج على الملف، يفتحه macOS في تطبيق Script Editor بشكل افتراضي. يُظهر الجزء المرئي من الملف تعليمات تبدو رسمية تطلب من المستخدم الضغط على ⌘+R لبدء الاستخدام، بينما يتم إخفاء الكود الخبيث الحقيقي في أسفل الملف بعد مجموعة كبيرة من الأسطر الفارغة . يستخدم النص أيضًا حروفًا هوموغليفية (متشابهة الشكل) من اليونانية والسيريلية في كلمة "Maccy" لخداع برامج المسح النصي .
ما هي البيانات التي يسرقها PamStealer؟
تقوم الحمولة الثانية من البرنامج الخبيث، وهي ملف تنفيذي من نوع Mach-O مكتوب بلغة Rust، بجمع مجموعة واسعة من البيانات الحساسة :
كلمة مرور تسجيل الدخول: يتم التقاطها عبر نافذة حوار NSAlert أصلية تقول "يريد Maccy إجراء تغييرات. أدخل كلمة المرور للسماح بذلك"، ثم يتم التحقق منها محليًا عبر PAM (باستخدام pam_start، pam_authenticate، pam_end) دون أي نشاط ظاهر في الطرفية .
إدخالات سلسلة المفاتيح (Keychain): يقوم بتحميل Security.framework في وقت التشغيل لسحب كلمات المرور من Keychain .
بيانات اعتماد المتصفح وملفات تعريف الارتباط وبيانات ملحقات المحافظ الرقمية: يفتح قواعد بيانات بيانات الاعتماد مباشرة باستخدام استدعاءات SQLite المدمجة .
محتويات الحافظة: يقوم بتشغيل أداة pbpaste المضمنة بشكل متكرر لمراقبة وسرقة ما ينسخه المستخدم .
أهداف الوصول الكامل للقرص (Full Disk Access - FDA): إذا منح المستخدم صلاحية FDA لاحقًا (يتم طلبها بعد تأخير يصل إلى 40 دقيقة)، تصبح الملفات المحمية متاحة أيضًا .
استطلاع محافظ العملات الرقمية: يتضمن تكوين خادم القيادة والتحكم (C2) نقاط نهاية Ethereum JSON-RPC، وقد لوحظ اتصاله بـ ethereum-rpc.publicnode[.]com.
يتم تشفير جميع البيانات المسروقة باستخدام ChaCha20-Poly1305 وإرسالها عبر HTTPS إلى نقاط نهاية C2 (النطاقات المرصودة: avenger-sync[.]live و avengerflow[.]com)، ملفوفة في هيكل JSON: MacOSapp1{"data":"..."}.
مؤشرات الإصابة (IOCs)
مشغلات توقيع الكود في Script Editor
قبل تشغيل الحمولة، يقوم البرنامج الخبيث (dropper) بتوقيع حزمة التطبيق المزيفة توقيعًا مؤقتًا (ad-hoc) باستخدام الأمر codesign -fs - --deep (وليس توقيع مطور Apple Developer ID شرعي)، ثم يشغلها مخفية دون نافذة أو وجود في قفص الاتهام (Dock) . يتحقق البرنامج أيضًا من وجود أدوات التصحيح ومن Integrity Protection للنظام قبل المتابعة .
عملية "Finder" المزيفة التي تستخدم pbpaste
يتم وضع الحمولة الثانية داخل حزمة باسم Finder.app مع معرف الحزمة com.apple.finder.monitor وأيقونة Finder.icns الحقيقية المنسوخة من /System/Library/CoreServices/. ثم تقوم بتشغيل pbpaste لسرقة بيانات الحافظة، لذلك قد يُظهر مراقب النشاط (Activity Monitor) وجود عملية Finder ثانية تقوم بقراءات للحافظة - وهذا شذوذ قوي يستدعي الانتباه .
عناصر تسجيل دخول جديدة بأيقونات نظامية منسوخة
يتم تحقيق الثبات (Persistence) عبر عناصر تسجيل الدخول (Login Items) (وليس LaunchAgents/LaunchDaemons) باستخدام كل من واجهة برمجة التطبيقات الحديثة SMAppService وواجهة LSSharedFileList القديمة، مع حزم البرامج الخبيثة تحت أسماء: com.apple.finder.monitor و com.apple.security.daemon (متخفية في شكل تحديث برمجي) . نظرًا لأن جزء عناصر تسجيل الدخول في إعدادات النظام لا يُظهر المسارات الكاملة، تظهر البرامج الخبيثة كإدخالات نظام شرعية .
مؤشرات أخرى
يتم حفظ ملف علامة باسم .Maccy بجانب الحزمة المرحلية .
يقوم برنامج التحميل بتنفيذ حمولة JavaScript for Automation (JXA) عبر واجهات برمجة تطبيقات ObjC الأصلية (NSURLSession)، مما ينتج عنه أثر أقل من إنشاء العمليات مقارنة ببرامج التحميل المعتمدة على curl/osascript التقليدية .
حظر جغرافي: يتوقف التنفيذ إذا تطابق المنطقة الزمنية أو اللغة المحلية أو تخطيط لوحة المفاتيح أو رمز البلد مع روسيا أو بيلاروسيا أو كازاخستان أو 8 دول أخرى من رابطة الدول المستقلة .
كيف يمكن للمستخدمين البقاء في أمان؟
قم بتنزيل Maccy فقط من النطاق الشرعي maccy.app، أو عبر Homebrew / مستودع GitHub الرسمي. المشروع الأصلي هو مفتوح المصدر (رخصة MIT) ويديره المطور Alexey Rodionov (معرف الفريق MN3X4648SC) .
لا تفتح ملفات .scpt في Script Editor من صورة قرص تم تنزيلها وتضغط على تشغيل. لا يوجد تطبيق macOS شرعي يطلب منك فعل ذلك .
دقق في طلبات كلمة مرور المسؤول غير المتوقعة. تظهر نافذة PamStealer النص "يريد Maccy إجراء تغييرات" - ولكن التطبيق الحقيقي لن يحتاج إلى كلمة مرورك لتثبيت مدير حافظة من مصدره الرسمي .
كن مشبوهًا من طلبات الوصول الكامل للقرص (Full Disk Access) المتأخرة. إذا طلب تطبيق صلاحية FDA بعد 30-40 دقيقة من التثبيت دون سبب واضح، فمن المحتمل أنه برنامج خبيث ينتظر لتجنب اكتشافه .
تحقق من عناصر تسجيل الدخول في الإعدادات ← عام ← عناصر تسجيل الدخول بحثًا عن إدخالات مشبوهة بأسماء مكونات النظام (مثل com.apple.finder.monitor) التي لم تقم بإضافتها بنفسك .
راقب وجود عمليات Finder متعددة في مراقب النشاط، خاصة تلك التي لا تحتوي على نافذة مرئية .
عند زيارة الضحية للموقع المزيف، يتم تقديم ملف صورة قرص (.dmg) يحتوي على ملف AppleScript مُجمَّع باسم Maccy.scpt. من المهم ملاحظة أن تطبيق Maccy الأصلي لم يوزع أبدًا على شكل DMG؛ بل يتم توزيعه فقط كملف Maccy.app.zip.
عند النقر المزدوج على الملف، يفتحه macOS في تطبيق Script Editor بشكل افتراضي. يُظهر الجزء المرئي من الملف تعليمات تبدو رسمية تطلب من المستخدم الضغط على ⌘+R لبدء الاستخدام، بينما يتم إخفاء الكود الخبيث الحقيقي في أسفل الملف بعد مجموعة كبيرة من الأسطر الفارغة . يستخدم النص أيضًا حروفًا هوموغليفية (متشابهة الشكل) من اليونانية والسيريلية في كلمة "Maccy" لخداع برامج المسح النصي .
ما هي البيانات التي يسرقها PamStealer؟
تقوم الحمولة الثانية من البرنامج الخبيث، وهي ملف تنفيذي من نوع Mach-O مكتوب بلغة Rust، بجمع مجموعة واسعة من البيانات الحساسة :
كلمة مرور تسجيل الدخول: يتم التقاطها عبر نافذة حوار NSAlert أصلية تقول "يريد Maccy إجراء تغييرات. أدخل كلمة المرور للسماح بذلك"، ثم يتم التحقق منها محليًا عبر PAM (باستخدام pam_start، pam_authenticate، pam_end) دون أي نشاط ظاهر في الطرفية .
إدخالات سلسلة المفاتيح (Keychain): يقوم بتحميل Security.framework في وقت التشغيل لسحب كلمات المرور من Keychain .
بيانات اعتماد المتصفح وملفات تعريف الارتباط وبيانات ملحقات المحافظ الرقمية: يفتح قواعد بيانات بيانات الاعتماد مباشرة باستخدام استدعاءات SQLite المدمجة .
محتويات الحافظة: يقوم بتشغيل أداة pbpaste المضمنة بشكل متكرر لمراقبة وسرقة ما ينسخه المستخدم .
أهداف الوصول الكامل للقرص (Full Disk Access - FDA): إذا منح المستخدم صلاحية FDA لاحقًا (يتم طلبها بعد تأخير يصل إلى 40 دقيقة)، تصبح الملفات المحمية متاحة أيضًا .
استطلاع محافظ العملات الرقمية: يتضمن تكوين خادم القيادة والتحكم (C2) نقاط نهاية Ethereum JSON-RPC، وقد لوحظ اتصاله بـ ethereum-rpc.publicnode[.]com.
يتم تشفير جميع البيانات المسروقة باستخدام ChaCha20-Poly1305 وإرسالها عبر HTTPS إلى نقاط نهاية C2 (النطاقات المرصودة: avenger-sync[.]live و avengerflow[.]com)، ملفوفة في هيكل JSON: MacOSapp1{"data":"..."}.
مؤشرات الإصابة (IOCs)
مشغلات توقيع الكود في Script Editor
قبل تشغيل الحمولة، يقوم البرنامج الخبيث (dropper) بتوقيع حزمة التطبيق المزيفة توقيعًا مؤقتًا (ad-hoc) باستخدام الأمر codesign -fs - --deep (وليس توقيع مطور Apple Developer ID شرعي)، ثم يشغلها مخفية دون نافذة أو وجود في قفص الاتهام (Dock) . يتحقق البرنامج أيضًا من وجود أدوات التصحيح ومن Integrity Protection للنظام قبل المتابعة .
عملية "Finder" المزيفة التي تستخدم pbpaste
يتم وضع الحمولة الثانية داخل حزمة باسم Finder.app مع معرف الحزمة com.apple.finder.monitor وأيقونة Finder.icns الحقيقية المنسوخة من /System/Library/CoreServices/. ثم تقوم بتشغيل pbpaste لسرقة بيانات الحافظة، لذلك قد يُظهر مراقب النشاط (Activity Monitor) وجود عملية Finder ثانية تقوم بقراءات للحافظة - وهذا شذوذ قوي يستدعي الانتباه .
عناصر تسجيل دخول جديدة بأيقونات نظامية منسوخة
يتم تحقيق الثبات (Persistence) عبر عناصر تسجيل الدخول (Login Items) (وليس LaunchAgents/LaunchDaemons) باستخدام كل من واجهة برمجة التطبيقات الحديثة SMAppService وواجهة LSSharedFileList القديمة، مع حزم البرامج الخبيثة تحت أسماء: com.apple.finder.monitor و com.apple.security.daemon (متخفية في شكل تحديث برمجي) . نظرًا لأن جزء عناصر تسجيل الدخول في إعدادات النظام لا يُظهر المسارات الكاملة، تظهر البرامج الخبيثة كإدخالات نظام شرعية .
مؤشرات أخرى
يتم حفظ ملف علامة باسم .Maccy بجانب الحزمة المرحلية .
يقوم برنامج التحميل بتنفيذ حمولة JavaScript for Automation (JXA) عبر واجهات برمجة تطبيقات ObjC الأصلية (NSURLSession)، مما ينتج عنه أثر أقل من إنشاء العمليات مقارنة ببرامج التحميل المعتمدة على curl/osascript التقليدية .
حظر جغرافي: يتوقف التنفيذ إذا تطابق المنطقة الزمنية أو اللغة المحلية أو تخطيط لوحة المفاتيح أو رمز البلد مع روسيا أو بيلاروسيا أو كازاخستان أو 8 دول أخرى من رابطة الدول المستقلة .
كيف يمكن للمستخدمين البقاء في أمان؟
قم بتنزيل Maccy فقط من النطاق الشرعي maccy.app، أو عبر Homebrew / مستودع GitHub الرسمي. المشروع الأصلي هو مفتوح المصدر (رخصة MIT) ويديره المطور Alexey Rodionov (معرف الفريق MN3X4648SC) .
لا تفتح ملفات .scpt في Script Editor من صورة قرص تم تنزيلها وتضغط على تشغيل. لا يوجد تطبيق macOS شرعي يطلب منك فعل ذلك .
دقق في طلبات كلمة مرور المسؤول غير المتوقعة. تظهر نافذة PamStealer النص "يريد Maccy إجراء تغييرات" - ولكن التطبيق الحقيقي لن يحتاج إلى كلمة مرورك لتثبيت مدير حافظة من مصدره الرسمي .
كن مشبوهًا من طلبات الوصول الكامل للقرص (Full Disk Access) المتأخرة. إذا طلب تطبيق صلاحية FDA بعد 30-40 دقيقة من التثبيت دون سبب واضح، فمن المحتمل أنه برنامج خبيث ينتظر لتجنب اكتشافه .
تحقق من عناصر تسجيل الدخول في الإعدادات ← عام ← عناصر تسجيل الدخول بحثًا عن إدخالات مشبوهة بأسماء مكونات النظام (مثل com.apple.finder.monitor) التي لم تقم بإضافتها بنفسك .
راقب وجود عمليات Finder متعددة في مراقب النشاط، خاصة تلك التي لا تحتوي على نافذة مرئية .
jamf.comPamStealer: macOS Malware Posing as Clipboard Manager App
playtech.roPamStealer, noul malware care vânează parolele utilizatorilor de Mac: cum se ascunde într-o aplicație aparent inofensivă
maccyapp.comDownload Maccy 2.7.3 — Free Clipboard Manager for macOS
github.comGitHub - p0deje/Maccy: Lightweight clipboard manager for macOS