CrashStealer و PamStealer: برمجيتان خبيثتان جديدتان تسرقان بيانات مستخدمي ماك وتتجاوزان حماية Apple
كشف باحثو Jamf Threat Labs عن برمجيتين خبيثتين جديدتين لسرقة بيانات مستخدمي أجهزة Mac، هما CrashStealer و PamStealer، في يوليو 2026. تتمكن كلتا البرمجيتين من تجاوز حماية Gatekeeper من Apple باستخدام تقنيات مختلفة: الأولى تستخدم تطبيقًا موقعًا ومعتمدًا من Apple (Werkbit)، والثانية تستغل ثغرة في تطبيق Script Editor.
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
كشف باحثو Jamf Threat Labs عن برمجيتين خبيثتين جديدتين لسرقة بيانات مستخدمي أجهزة Mac، هما CrashStealer و PamStealer، في يوليو 2026.
تتمكن كلتا البرمجيتين من تجاوز حماية Gatekeeper من Apple باستخدام تقنيات مختلفة: الأولى تستخدم تطبيقًا موقعًا ومعتمدًا من Apple (Werkbit)، والثانية تستغل ثغرة في تطبيق Script Editor.
تستهدف البرمجيتان الخبيثتان مجموعة واسعة من البيانات تشمل بيانات الدخول من المتصفحات، وحوالي 14 مدير كلمات مرور، ونحو 80 إضافة للمحافظ الرقمية، وسلسلة المفاتيح (Keychain).
ما يميز هاتين البرمجيتين هو قدرتهما على التحقق من صحة كلمة مرور الضحية محليًا قبل سرقتها، مما يضمن للمهاجم حصوله على بيانات اعتماد صالحة.
Search & fact-check with cited sources for What are the key details about the two newly documented macOS infostealers — CrashStealer and PamAn AI-generated visual representing macOS malware execution chain, illustrating how notarized droppers can bypass Gatekeeper security.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details about the two newly documented macOS infostealers — CrashStealer and Pam. Article summary: Here is the detailed breakdown of both macOS infostealers, based primarily on Jamf Threat Labs' research from July 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrati
openai.com
توثق تقارير جديدة صادرة عن Jamf Threat Labs في يوليو 2026 برمجيتين خبيثتين جديدتين لسرقة البيانات من أجهزة ماك (macOS) هما CrashStealer و PamStealer. تمثل هاتان الأداتان تطورًا ملحوظًا في تقنيات البرمجيات الخبيثة التي تستهدف نظام Apple، وذلك لقدرتهما على تجاوز حماية Gatekeeper بطرق متقنة، واستهدافهما لمجموعة واسعة من البيانات، وقدرتهما الفريدة على التحقق من صحة كلمات المرور على جهاز الضحية قبل إرسالها للمهاجم .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "CrashStealer و PamStealer: برمجيتان خبيثتان جديدتان تسرقان بيانات مستخدمي ماك وتتجاوزان حماية Apple"؟
كشف باحثو Jamf Threat Labs عن برمجيتين خبيثتين جديدتين لسرقة بيانات مستخدمي أجهزة Mac، هما CrashStealer و PamStealer، في يوليو 2026.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
كشف باحثو Jamf Threat Labs عن برمجيتين خبيثتين جديدتين لسرقة بيانات مستخدمي أجهزة Mac، هما CrashStealer و PamStealer، في يوليو 2026. تتمكن كلتا البرمجيتين من تجاوز حماية Gatekeeper من Apple باستخدام تقنيات مختلفة: الأولى تستخدم تطبيقًا موقعًا ومعتمدًا من Apple (Werkbit)، والثانية تستغل ثغرة في تطبيق Script Editor.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
تستهدف البرمجيتان الخبيثتان مجموعة واسعة من البيانات تشمل بيانات الدخول من المتصفحات، وحوالي 14 مدير كلمات مرور، ونحو 80 إضافة للمحافظ الرقمية، وسلسلة المفاتيح (Keychain).
CrashStealer و PamStealer: برمجيتان خبيثتان جديدتان تسرقان بيانات مستخدمي ماك وتتجاوزان حماية Apple
كشف باحثو Jamf Threat Labs عن برمجيتين خبيثتين جديدتين لسرقة بيانات مستخدمي أجهزة Mac، هما CrashStealer و PamStealer، في يوليو 2026. تتمكن كلتا البرمجيتين من تجاوز حماية Gatekeeper من Apple باستخدام تقنيات مختلفة: الأولى تستخدم تطبيقًا موقعًا ومعتمدًا من Apple (Werkbit)، والثانية تستغل ثغرة في تطبيق Script Editor.
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
كشف باحثو Jamf Threat Labs عن برمجيتين خبيثتين جديدتين لسرقة بيانات مستخدمي أجهزة Mac، هما CrashStealer و PamStealer، في يوليو 2026.
تتمكن كلتا البرمجيتين من تجاوز حماية Gatekeeper من Apple باستخدام تقنيات مختلفة: الأولى تستخدم تطبيقًا موقعًا ومعتمدًا من Apple (Werkbit)، والثانية تستغل ثغرة في تطبيق Script Editor.
تستهدف البرمجيتان الخبيثتان مجموعة واسعة من البيانات تشمل بيانات الدخول من المتصفحات، وحوالي 14 مدير كلمات مرور، ونحو 80 إضافة للمحافظ الرقمية، وسلسلة المفاتيح (Keychain).
ما يميز هاتين البرمجيتين هو قدرتهما على التحقق من صحة كلمة مرور الضحية محليًا قبل سرقتها، مما يضمن للمهاجم حصوله على بيانات اعتماد صالحة.
Search & fact-check with cited sources for What are the key details about the two newly documented macOS infostealers — CrashStealer and PamAn AI-generated visual representing macOS malware execution chain, illustrating how notarized droppers can bypass Gatekeeper security.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details about the two newly documented macOS infostealers — CrashStealer and Pam. Article summary: Here is the detailed breakdown of both macOS infostealers, based primarily on Jamf Threat Labs' research from July 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrati
openai.com
توثق تقارير جديدة صادرة عن Jamf Threat Labs في يوليو 2026 برمجيتين خبيثتين جديدتين لسرقة البيانات من أجهزة ماك (macOS) هما CrashStealer و PamStealer. تمثل هاتان الأداتان تطورًا ملحوظًا في تقنيات البرمجيات الخبيثة التي تستهدف نظام Apple، وذلك لقدرتهما على تجاوز حماية Gatekeeper بطرق متقنة، واستهدافهما لمجموعة واسعة من البيانات، وقدرتهما الفريدة على التحقق من صحة كلمات المرور على جهاز الضحية قبل إرسالها للمهاجم .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "CrashStealer و PamStealer: برمجيتان خبيثتان جديدتان تسرقان بيانات مستخدمي ماك وتتجاوزان حماية Apple"؟
كشف باحثو Jamf Threat Labs عن برمجيتين خبيثتين جديدتين لسرقة بيانات مستخدمي أجهزة Mac، هما CrashStealer و PamStealer، في يوليو 2026.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
كشف باحثو Jamf Threat Labs عن برمجيتين خبيثتين جديدتين لسرقة بيانات مستخدمي أجهزة Mac، هما CrashStealer و PamStealer، في يوليو 2026. تتمكن كلتا البرمجيتين من تجاوز حماية Gatekeeper من Apple باستخدام تقنيات مختلفة: الأولى تستخدم تطبيقًا موقعًا ومعتمدًا من Apple (Werkbit)، والثانية تستغل ثغرة في تطبيق Script Editor.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
تستهدف البرمجيتان الخبيثتان مجموعة واسعة من البيانات تشمل بيانات الدخول من المتصفحات، وحوالي 14 مدير كلمات مرور، ونحو 80 إضافة للمحافظ الرقمية، وسلسلة المفاتيح (Keychain).
CrashStealer: برمجية خبيثة تتنكر في هيئة أداة Apple للإبلاغ عن الأعطال
ما هي. تم اكتشاف CrashStealer، وهي برمجية خبيثة مكتوبة بلغة C++، لأول مرة من قبل باحثي Jamf في بداية يوليو 2026 . وهي تنتحل صفة إطار عمل Apple الرسمي للإبلاغ عن الأعطال (Crash Reporting Framework) عبر تسمية ملفها الثنائي باسم CrashReporter.app واستخدام أيقونته وبياناته الوصفية بهدف التمويه وعدم إثارة الشكوك .
تجاوز Gatekeeper عبر تطبيق معتمد. تبدأ سلسلة الإصابة من تطبيق يُدعى Werkbit، وهو تطبيق موقع من Apple ومعتمد من خدمة Notary الخاصة بها، ويحمل هوية مطور صالحة مرتبطة باسم "Emil Grigorov" . وبسبب موافقة Apple على هذا التطبيق، يتعامل معه Gatekeeper كتطبيق موثوق ولن يُظهر التحذير المعتاد. بعد أن يقوم المستخدم بتنزيل التطبيق وتشغيله يدويًا، يقوم نص برمجي في الخلفية بتحميل الحمولة الخبيثة الحقيقية لـ CrashStealer .
البيانات المستهدفة. تقوم CrashStealer بسرقة مجموعة واسعة من البيانات:
بيانات الدخول من متصفحات كروم وفايرفوكس وإيدج وبريف وأوبرا وفيفالدي .
ما يقرب من 14 مدير كلمات مرور، بما في ذلك 1Password .
حوالي 80 إضافة للمحافظ الرقمية للعملات المشفرة وملفات المحافظ المحلية .
بيانات سلسلة المفاتيح (Keychain) وكلمات مرور النظام .
أبرز التقنيات المستخدمة.
التحقق المحلي من كلمة المرور قبل سرقتها. تتلاعب البرمجية الخبيثة بالمستخدم عبر عرض نافذة نظام مزيفة تطلب إدخال كلمة مرور الدخول إلى جهاز Mac، ثم تقوم بالتحقق من صحتها محليًا قبل البدء في سرقة البيانات، مما يضمن حصول المهاجم على كلمة مرور صالحة .
تشفير AES-GCM للملفات المسروقة قبل إرسالها إلى خادم القيادة والتحكم (C2)، مما يجعل اكتشافها عبر الشبكة أكثر صعوبة .
الثبات والتمويه. بعد الإصابة، تعرض البرمجية واجهة مزيفة لأداة الإبلاغ عن الأعطال، وتنسخ نفسها إلى مسار ~/Library/Caches/com.apple.crashreporter/، وتنشئ وكيل تشغيل باسم com.apple.crashreporter.helper لضمان بقائها بعد إعادة التشغيل . كما تطلب البرمجية صلاحية الوصول الكامل للقرص الصلب لتوسيع نطاق ما يمكنها سرقته .
رد فعل Apple. قامت Apple بإلغاء شهادة التوقيع الخاصة بتطبيق Werkbit بعد أن أبلغتها Jamf بهذا التهديد .
PamStealer: برمجية خبيثة مكتوبة بلغة Rust تختبر كلمات المرور عبر واجهة PAM الأصلية من Apple
ما هي. تم الإعلان عن PamStealer من قبل Jamf في 2 يوليو 2026 . وهي برمجية خبيثة من مرحلتين مكتوبة بلغة Rust، وقد اشتق اسمها من استخدامها المبتكر لواجهة وحدات المصادقة القابلة للتوصيل (PAM) من Apple للتحقق من صحة كلمات المرور المسروقة .
التوزيع وتجاوز Gatekeeper. يتم توزيع PamStealer عبر نطاقات مزيفة تحاكي اسم تطبيق Maccy الشرعي لإدارة الحافظة (مثل maccyapp[.]com) . يعتمد الهجوم على ثغرة معروفة ولكنها غير مصححة في محرر Script Editor في macOS:
يقوم الضحية بتحميل صورة قرص تحتوي على ملف AppleScript مُجمّع بامتداد .scpt.
تطلب التعليمات من المستخدم فتح الملف في Script Editor والضغط على Command-R لتشغيله .
وبما أن Script Editor هو تطبيق نظام موثوق، فإن حماية com.apple.quarantine في Gatekeeper يتم تجاوزها، ولا يظهر أي تحذير أمني .
البيانات المستهدفة. تقوم الحمولة الخبيثة الثانية (Rust payload) بسرقة:
كلمة مرور الدخول إلى macOS (عبر PAM) وكلمة مرور المسؤول المحلي .
بيانات الدخول المحفوظة في المتصفح وملفات تعريف الارتباط ومحتويات الحافظة .
محتويات سلسلة المفاتيح (Keychain) .
ملفات محفظة إيثريوم ومفاتيح SSH .
التقنية الأساسية — التحقق من كلمة المرور عبر PAM. هذا هو الابتكار المميز لبرمجية PamStealer:
عندما يعرض macOS نافذة مصادقة طبيعية ("Maccy wants to make changes")، يقوم المستخدم بكتابة كلمة المرور .
بدلاً من مجرد التقاط كلمة المرور بشكل أعمى، تقوم PamStealer باستدعاء واجهة PAM API الأصلية (pam_start, pam_authenticate) لاختبار كلمة المرور مقابل نظام المصادقة بالكامل قبل تسجيلها .
إذا كانت كلمة المرور صحيحة، يتم إرسالها للمهاجم والمتابعة في سرقة بقية البيانات. إذا كانت خاطئة، يمكن إعادة طلبها أو إنهاء العملية، مما يقلل من إهدار الموارد على بيانات اعتماد غير صالحة .
تترك هذه التقنية آثارًا جنائية أقل مقارنة ببرمجيات تسجيل المفاتيح لأنها تستخدم واجهة برمجة تطبيقات أصلية من Apple للتحقق بدلاً من التنصت على استدعاءات النظام .
تداعيات أوسع على تهديدات برمجيات Mac الخبيثة
شهادة Notarization كسلاح ذو حدين. يوضح هجوم CrashStealer أن الجهات الخبيثة يمكنها بنجاح تقديم تطبيقات ضارة لخدمة التوثيق من Apple والحصول على توقيعات تتجاوز Gatekeeper . عملية إلغاء الشهادات من Apple هي عملية رد فعل، وليست وقائية؛ حيث يمكن للبرمجية الخبيثة الانتشار لأيام أو أسابيع قبل إلغاء الشهادة. يتبع هذا نمطًا شوهد مع برمجيات سابقة مثل MacSync وعائلة Odyssey Stealer .
Script Editor كنقطة عمياء. تستغل كل من PamStealer وعدد متزايد من البرمجيات الخبيثة الحديثة حقيقة أن تشغيل نصوص AppleScript عبر تطبيقات النظام الموثوقة يتجاوز Gatekeeper تمامًا. تشير Jamf إلى أن هذه ثغرة موثقة ولكنها لا تزال غير مصححة .
برمجيات سرقة بيانات Mac أصبحت أكثر تعقيدًا. يُظهر استخدام تشفير AES-GCM للبيانات المسروقة (في CrashStealer) والتحقق عبر PAM API (في PamStealer) أن المهاجمين يستثمرون في تطوير تقنيات مخصصة ومتخفية بدلاً من الاعتماد على برمجيات خبيثة جاهزة . كما أشارت Microsoft في فبراير 2026 إلى اتجاه أوسع لبرمجيات سرقة البيانات التي تستهدف macOS ومنصات أخرى باستخدام حيل هندسة اجتماعية .
التحقق من صحة كلمات المرور محليًا هو قفزة نوعية جديدة. بدلاً من تخمين أو جمع بيانات الاعتماد بشكل عشوائي، تقوم هاتان البرمجيتان بالتأكد من صلاحية كلمة المرور على جهاز الضحية قبل إرسالها، مما يحسن معدل نجاح الهجوم ويقلل فرص اكتشافه . هذا يعد تطورًا هامًا مقارنة بالبرمجيات التقليدية التي تلتقط ما يُكتب أو تستخدم أوامر قد تفشل بصمت .
thehackernews.comCrashStealer macOS Malware Uses Notarized Dropper to ...
CrashStealer: برمجية خبيثة تتنكر في هيئة أداة Apple للإبلاغ عن الأعطال
ما هي. تم اكتشاف CrashStealer، وهي برمجية خبيثة مكتوبة بلغة C++، لأول مرة من قبل باحثي Jamf في بداية يوليو 2026 . وهي تنتحل صفة إطار عمل Apple الرسمي للإبلاغ عن الأعطال (Crash Reporting Framework) عبر تسمية ملفها الثنائي باسم CrashReporter.app واستخدام أيقونته وبياناته الوصفية بهدف التمويه وعدم إثارة الشكوك .
تجاوز Gatekeeper عبر تطبيق معتمد. تبدأ سلسلة الإصابة من تطبيق يُدعى Werkbit، وهو تطبيق موقع من Apple ومعتمد من خدمة Notary الخاصة بها، ويحمل هوية مطور صالحة مرتبطة باسم "Emil Grigorov" . وبسبب موافقة Apple على هذا التطبيق، يتعامل معه Gatekeeper كتطبيق موثوق ولن يُظهر التحذير المعتاد. بعد أن يقوم المستخدم بتنزيل التطبيق وتشغيله يدويًا، يقوم نص برمجي في الخلفية بتحميل الحمولة الخبيثة الحقيقية لـ CrashStealer .
البيانات المستهدفة. تقوم CrashStealer بسرقة مجموعة واسعة من البيانات:
بيانات الدخول من متصفحات كروم وفايرفوكس وإيدج وبريف وأوبرا وفيفالدي .
ما يقرب من 14 مدير كلمات مرور، بما في ذلك 1Password .
حوالي 80 إضافة للمحافظ الرقمية للعملات المشفرة وملفات المحافظ المحلية .
بيانات سلسلة المفاتيح (Keychain) وكلمات مرور النظام .
أبرز التقنيات المستخدمة.
التحقق المحلي من كلمة المرور قبل سرقتها. تتلاعب البرمجية الخبيثة بالمستخدم عبر عرض نافذة نظام مزيفة تطلب إدخال كلمة مرور الدخول إلى جهاز Mac، ثم تقوم بالتحقق من صحتها محليًا قبل البدء في سرقة البيانات، مما يضمن حصول المهاجم على كلمة مرور صالحة .
تشفير AES-GCM للملفات المسروقة قبل إرسالها إلى خادم القيادة والتحكم (C2)، مما يجعل اكتشافها عبر الشبكة أكثر صعوبة .
الثبات والتمويه. بعد الإصابة، تعرض البرمجية واجهة مزيفة لأداة الإبلاغ عن الأعطال، وتنسخ نفسها إلى مسار ~/Library/Caches/com.apple.crashreporter/، وتنشئ وكيل تشغيل باسم com.apple.crashreporter.helper لضمان بقائها بعد إعادة التشغيل . كما تطلب البرمجية صلاحية الوصول الكامل للقرص الصلب لتوسيع نطاق ما يمكنها سرقته .
رد فعل Apple. قامت Apple بإلغاء شهادة التوقيع الخاصة بتطبيق Werkbit بعد أن أبلغتها Jamf بهذا التهديد .
PamStealer: برمجية خبيثة مكتوبة بلغة Rust تختبر كلمات المرور عبر واجهة PAM الأصلية من Apple
ما هي. تم الإعلان عن PamStealer من قبل Jamf في 2 يوليو 2026 . وهي برمجية خبيثة من مرحلتين مكتوبة بلغة Rust، وقد اشتق اسمها من استخدامها المبتكر لواجهة وحدات المصادقة القابلة للتوصيل (PAM) من Apple للتحقق من صحة كلمات المرور المسروقة .
التوزيع وتجاوز Gatekeeper. يتم توزيع PamStealer عبر نطاقات مزيفة تحاكي اسم تطبيق Maccy الشرعي لإدارة الحافظة (مثل maccyapp[.]com) . يعتمد الهجوم على ثغرة معروفة ولكنها غير مصححة في محرر Script Editor في macOS:
يقوم الضحية بتحميل صورة قرص تحتوي على ملف AppleScript مُجمّع بامتداد .scpt.
تطلب التعليمات من المستخدم فتح الملف في Script Editor والضغط على Command-R لتشغيله .
وبما أن Script Editor هو تطبيق نظام موثوق، فإن حماية com.apple.quarantine في Gatekeeper يتم تجاوزها، ولا يظهر أي تحذير أمني .
البيانات المستهدفة. تقوم الحمولة الخبيثة الثانية (Rust payload) بسرقة:
كلمة مرور الدخول إلى macOS (عبر PAM) وكلمة مرور المسؤول المحلي .
بيانات الدخول المحفوظة في المتصفح وملفات تعريف الارتباط ومحتويات الحافظة .
محتويات سلسلة المفاتيح (Keychain) .
ملفات محفظة إيثريوم ومفاتيح SSH .
التقنية الأساسية — التحقق من كلمة المرور عبر PAM. هذا هو الابتكار المميز لبرمجية PamStealer:
عندما يعرض macOS نافذة مصادقة طبيعية ("Maccy wants to make changes")، يقوم المستخدم بكتابة كلمة المرور .
بدلاً من مجرد التقاط كلمة المرور بشكل أعمى، تقوم PamStealer باستدعاء واجهة PAM API الأصلية (pam_start, pam_authenticate) لاختبار كلمة المرور مقابل نظام المصادقة بالكامل قبل تسجيلها .
إذا كانت كلمة المرور صحيحة، يتم إرسالها للمهاجم والمتابعة في سرقة بقية البيانات. إذا كانت خاطئة، يمكن إعادة طلبها أو إنهاء العملية، مما يقلل من إهدار الموارد على بيانات اعتماد غير صالحة .
تترك هذه التقنية آثارًا جنائية أقل مقارنة ببرمجيات تسجيل المفاتيح لأنها تستخدم واجهة برمجة تطبيقات أصلية من Apple للتحقق بدلاً من التنصت على استدعاءات النظام .
تداعيات أوسع على تهديدات برمجيات Mac الخبيثة
شهادة Notarization كسلاح ذو حدين. يوضح هجوم CrashStealer أن الجهات الخبيثة يمكنها بنجاح تقديم تطبيقات ضارة لخدمة التوثيق من Apple والحصول على توقيعات تتجاوز Gatekeeper . عملية إلغاء الشهادات من Apple هي عملية رد فعل، وليست وقائية؛ حيث يمكن للبرمجية الخبيثة الانتشار لأيام أو أسابيع قبل إلغاء الشهادة. يتبع هذا نمطًا شوهد مع برمجيات سابقة مثل MacSync وعائلة Odyssey Stealer .
Script Editor كنقطة عمياء. تستغل كل من PamStealer وعدد متزايد من البرمجيات الخبيثة الحديثة حقيقة أن تشغيل نصوص AppleScript عبر تطبيقات النظام الموثوقة يتجاوز Gatekeeper تمامًا. تشير Jamf إلى أن هذه ثغرة موثقة ولكنها لا تزال غير مصححة .
برمجيات سرقة بيانات Mac أصبحت أكثر تعقيدًا. يُظهر استخدام تشفير AES-GCM للبيانات المسروقة (في CrashStealer) والتحقق عبر PAM API (في PamStealer) أن المهاجمين يستثمرون في تطوير تقنيات مخصصة ومتخفية بدلاً من الاعتماد على برمجيات خبيثة جاهزة . كما أشارت Microsoft في فبراير 2026 إلى اتجاه أوسع لبرمجيات سرقة البيانات التي تستهدف macOS ومنصات أخرى باستخدام حيل هندسة اجتماعية .
التحقق من صحة كلمات المرور محليًا هو قفزة نوعية جديدة. بدلاً من تخمين أو جمع بيانات الاعتماد بشكل عشوائي، تقوم هاتان البرمجيتان بالتأكد من صلاحية كلمة المرور على جهاز الضحية قبل إرسالها، مما يحسن معدل نجاح الهجوم ويقلل فرص اكتشافه . هذا يعد تطورًا هامًا مقارنة بالبرمجيات التقليدية التي تلتقط ما يُكتب أو تستخدم أوامر قد تفشل بصمت .
thehackernews.comCrashStealer macOS Malware Uses Notarized Dropper to ...
ctipilot.chJamf Threat Labs documents "PamStealer": a macOS infostealer that validates the victim's password via the PAM API before exfiltrating it
appleinsider.comMac infostealer confirms stolen passwords before stealing ...
techtimes.comMac Infostealer Weaponizes Apple's Own PAM API to Verify Stolen Passwords First
jamf.comCrashStealer: C++ macOS Infostealer Posing as Crash ...
