PamStealer: Nový malware pro macOS, který krade hesla přímo přes Apple PAM

Na světě je nový macOS infostealer jménem PamStealer – a má obzvlášť zákeřný trik. Místo slepého sbírání hesel, která uživatel napíše do falešného dialogového okna, si je nejdříve lokálně ověří přímo přes Apple PAM (Pluggable Authentication Modules). Útočník tak získává jen funkční přihlašovací údaje, nikoli překlepy nebo falešné údaje ^JP. První zdokumentování této hrozby pochází od Jamf Threat Labs z 2. července 2026 a PamStealer představuje znepokojivý posun v krádeži hesel na macOS ^JP.

Jak PamStealer infikuje oběti skrze typosquatting

Malware se šíří z typosquattingové domény – maccyapp[.]com – která se vydává za legitimní správce schránky Maccy. Pravý Maccy je k dispozici pouze na doméně maccy.app, přes Homebrew nebo na oficiálním GitHub repozitáři ^MG. Legitimní stránka výslovně varuje uživatele před těmito podvodnými kopiemi ^F.

Když oběť navštíví falešnou stránku, stáhne se jí disk image (.dmg) obsahující zkompilovaný AppleScript soubor pojmenovaný Maccy.scpt ^JP. Legitimní Maccy nikdy nedistribuoval DMG; dodává se pouze jako Maccy.app.zip ^P.

Po dvojkliku macOS standardně otevře .scpt soubory v Script Editoru. Viditelná část souboru obsahuje instrukci, aby uživatel stiskl ⌘+R pro „spuštění“, zatímco skutečný škodlivý kód je ukrytý o mnoho prázdných řádků níže ^JP. Text navíc používá řecké a cyrilické homoglyfy ve slově „Maccy“, čímž obchází textové skenery ^JF.

Jaká data PamStealer krade?

Druhá fáze útoku – Rust-based Mach-O infostealer – sbírá široké spektrum citlivých dat ^J:

• Přihlašovací heslo – získané přes nativní NSAlert dialog s textem „Maccy wants to make changes. Enter your password to allow this“, následně lokálně ověřené přes PAM (pam_start, pam_authenticate, pam_end) bez viditelné aktivity v terminálu ^J.
• Položky z klíčenky – načítá Security.framework za běhu (nikoli ve statické importní tabulce) a krade hesla z macOS Keychain ^J.
• Přihlašovací údaje, cookies a data z walletů v prohlížečích – otevírá databáze přihlašovacích údajů přímo pomocí SQLite ^J.
• Obsah schránky – opakovaně spouští vestavěný nástroj pbpaste pro monitorování a exfiltraci zkopírovaného obsahu ^JF.
• Cíle s Full Disk Access – pokud uživatel později udělí FDA (výzva přichází s odstupem až 40 minut), malware získá přístup i k chráněným souborům ^F.
• Průzkum kryptoměnových peněženek – konfigurace C2 zahrnuje Ethereum JSON-RPC endpointy a malware se v praxi připojuje k ethereum-rpc.publicnode[.]com ^J.

Všechna ukradená data jsou šifrována algoritmem ChaCha20-Poly1305 a odesílána přes HTTPS na C2 endpointy (pozorované domény: avenger-sync[.]live a avengerflow[.]com) zabalená do JSON obálky MacOSapp1{"data":"..."} ^JP.

Indikátory infekce (IOC)

Spouštění kódu v Script Editoru

Před spuštěním payloadu dropper ad-hoc podepíše falešný aplikační bundle příkazem codesign -fs - --deep (nikoli legitimním Developer ID podpisem) a spustí jej skrytě – bez okna a bez ikony v Docku ^J. Malware také před spuštěním kontroluje přítomností debugovacích nástrojů a System Integrity Protection ^F.

Falešný proces „Finder“ využívající pbpaste

Payload druhé fáze je umístěn v bundle pojmenovaném Finder.app s bundle identifier com.apple.finder.monitor a s pravou ikonou Finder.icns zkopírovanou z /System/Library/CoreServices/ ^JP. Následně spouští pbpaste pro krádež dat ze schránky – Activity Monitor tak může ukazovat druhý proces Finder provádějící čtení schránky, což je silná anomálie ^J.

Nové položky Login Items se zkopírovanými systémovými ikonami

Perzistence je zajištěna pomocí Login Items (nikoli LaunchAgents/LaunchDaemons) s využitím moderního API SMAppService i staršího LSSharedFileList. Malware je vložen do com.apple.finder.monitor a com.apple.security.daemon (maskuje se jako Software Update) ^JPF. V panelu Login Items v Nastavení systému se nezobrazují celé cesty, a malware tak vypadá jako legitimní systémová položka ^PT.

Další indikátory

• Marker soubor s názvem .Maccy je vytvořen vedle staged bundle ^J.
• Dropper provádí JavaScript for Automation (JXA) payload přes nativní ObjC API (NSURLSession), což produkuje méně artefaktů spouštění procesů než typické curl/osascript downloadery ^J.
• Geo-fencing: spuštění je zrušeno, pokud časové pásmo, locale, rozložení klávesnice nebo kód země odpovídá Rusku, Bělorusku, Kazachstánu nebo 8 dalším zemím SNS ^JP.

Jak se mohou uživatelé chránit

• Stahujte Maccy pouze z legitimní domény maccy.app, nebo přes Homebrew / oficiální GitHub repozitář. Pravý projekt je open-source (MIT licence) a spravuje ho vývojář Alexey Rodionov (Team Identifier MN3X4648SC) ^JP.
• Nikdy neotevírejte .scpt soubory v Script Editoru z staženého disk image a nespouštějte je. Žádná legitimní macOS aplikace vás o to nežádá ^JF.
• Prověřujte neočekávané výzvy k zadání administrátorského hesla. Dialog PamStealeru zní „Maccy wants to make changes“ – ale skutečná aplikace by pro instalaci správce schránky z oficiálního zdroje vaše heslo nepotřebovala ^J.
• Buďte podezřívaví k žádostem o Full Disk Access s odstupem. Pokud aplikace požádá o FDA 30–40 minut po instalaci bez zřejmého důvodu, pravděpodobně jde o malware čekající na únik ^F.
• Zkontrolujte Login Items v Nastavení systému → Obecné → Přihlašovací položky na podezřelé položky pojmenované po systémových komponentách (např. com.apple.finder.monitor), které jste vědomě nepřidali ^PJ.
• Sledujte v Activity Monitoru více procesů Finder, zejména ten, který nemá viditelné okno ^J.