Jak PamStealer infikuje oběti skrze typosquatting

Malware se šíří z typosquattingové domény – maccyapp[.]com – která se vydává za legitimní správce schránky Maccy. Pravý Maccy je k dispozici pouze na doméně maccy.app, přes Homebrew nebo na oficiálním GitHub repozitáři . Legitimní stránka výslovně varuje uživatele před těmito podvodnými kopiemi .

Když oběť navštíví falešnou stránku, stáhne se jí disk image (.dmg) obsahující zkompilovaný AppleScript soubor pojmenovaný Maccy.scpt . Legitimní Maccy nikdy nedistribuoval DMG; dodává se pouze jako Maccy.app.zip .

Po dvojkliku macOS standardně otevře .scpt soubory v Script Editoru. Viditelná část souboru obsahuje instrukci, aby uživatel stiskl ⌘+R pro „spuštění“, zatímco skutečný škodlivý kód je ukrytý o mnoho prázdných řádků níže . Text navíc používá řecké a cyrilické homoglyfy ve slově „Maccy“, čímž obchází textové skenery .

Jaká data PamStealer krade?

Druhá fáze útoku – Rust-based Mach-O infostealer – sbírá široké spektrum citlivých dat :

• Přihlašovací heslo – získané přes nativní NSAlert dialog s textem „Maccy wants to make changes. Enter your password to allow this“, následně lokálně ověřené přes PAM (pam_start, pam_authenticate, pam_end) bez viditelné aktivity v terminálu .
• Položky z klíčenky – načítá Security.framework za běhu (nikoli ve statické importní tabulce) a krade hesla z macOS Keychain .
• Přihlašovací údaje, cookies a data z walletů v prohlížečích – otevírá databáze přihlašovacích údajů přímo pomocí SQLite .
• Obsah schránky – opakovaně spouští vestavěný nástroj pbpaste pro monitorování a exfiltraci zkopírovaného obsahu .
• Cíle s Full Disk Access – pokud uživatel později udělí FDA (výzva přichází s odstupem až 40 minut), malware získá přístup i k chráněným souborům .
• Průzkum kryptoměnových peněženek – konfigurace C2 zahrnuje Ethereum JSON-RPC endpointy a malware se v praxi připojuje k ethereum-rpc.publicnode[.]com .

Všechna ukradená data jsou šifrována algoritmem ChaCha20-Poly1305 a odesílána přes HTTPS na C2 endpointy (pozorované domény: avenger-sync[.]live a avengerflow[.]com) zabalená do JSON obálky MacOSapp1{"data":"..."} .

Indikátory infekce (IOC)

Spouštění kódu v Script Editoru

Před spuštěním payloadu dropper ad-hoc podepíše falešný aplikační bundle příkazem codesign -fs - --deep (nikoli legitimním Developer ID podpisem) a spustí jej skrytě – bez okna a bez ikony v Docku . Malware také před spuštěním kontroluje přítomností debugovacích nástrojů a System Integrity Protection .

Falešný proces „Finder“ využívající pbpaste

Payload druhé fáze je umístěn v bundle pojmenovaném Finder.app s bundle identifier com.apple.finder.monitor a s pravou ikonou Finder.icns zkopírovanou z /System/Library/CoreServices/ . Následně spouští pbpaste pro krádež dat ze schránky – Activity Monitor tak může ukazovat druhý proces Finder provádějící čtení schránky, což je silná anomálie .

Nové položky Login Items se zkopírovanými systémovými ikonami

Perzistence je zajištěna pomocí Login Items (nikoli LaunchAgents/LaunchDaemons) s využitím moderního API SMAppService i staršího LSSharedFileList. Malware je vložen do com.apple.finder.monitor a com.apple.security.daemon (maskuje se jako Software Update) . V panelu Login Items v Nastavení systému se nezobrazují celé cesty, a malware tak vypadá jako legitimní systémová položka .

Další indikátory

• Marker soubor s názvem .Maccy je vytvořen vedle staged bundle .
• Dropper provádí JavaScript for Automation (JXA) payload přes nativní ObjC API (NSURLSession), což produkuje méně artefaktů spouštění procesů než typické curl/osascript downloadery .
• Geo-fencing: spuštění je zrušeno, pokud časové pásmo, locale, rozložení klávesnice nebo kód země odpovídá Rusku, Bělorusku, Kazachstánu nebo 8 dalším zemím SNS .

Jak se mohou uživatelé chránit

• Stahujte Maccy pouze z legitimní domény maccy.app, nebo přes Homebrew / oficiální GitHub repozitář. Pravý projekt je open-source (MIT licence) a spravuje ho vývojář Alexey Rodionov (Team Identifier MN3X4648SC) .
• Nikdy neotevírejte .scpt soubory v Script Editoru z staženého disk image a nespouštějte je. Žádná legitimní macOS aplikace vás o to nežádá .
• Prověřujte neočekávané výzvy k zadání administrátorského hesla. Dialog PamStealeru zní „Maccy wants to make changes“ – ale skutečná aplikace by pro instalaci správce schránky z oficiálního zdroje vaše heslo nepotřebovala .
• Buďte podezřívaví k žádostem o Full Disk Access s odstupem. Pokud aplikace požádá o FDA 30–40 minut po instalaci bez zřejmého důvodu, pravděpodobně jde o malware čekající na únik .
• Zkontrolujte Login Items v Nastavení systému → Obecné → Přihlašovací položky na podezřelé položky pojmenované po systémových komponentách (např. com.apple.finder.monitor), které jste vědomě nepřidali .
• Sledujte v Activity Monitoru více procesů Finder, zejména ten, který nemá viditelné okno .

Jak PamStealer infikuje oběti skrze typosquatting

Malware se šíří z typosquattingové domény – maccyapp[.]com – která se vydává za legitimní správce schránky Maccy. Pravý Maccy je k dispozici pouze na doméně maccy.app, přes Homebrew nebo na oficiálním GitHub repozitáři . Legitimní stránka výslovně varuje uživatele před těmito podvodnými kopiemi .

Když oběť navštíví falešnou stránku, stáhne se jí disk image (.dmg) obsahující zkompilovaný AppleScript soubor pojmenovaný Maccy.scpt . Legitimní Maccy nikdy nedistribuoval DMG; dodává se pouze jako Maccy.app.zip .

Po dvojkliku macOS standardně otevře .scpt soubory v Script Editoru. Viditelná část souboru obsahuje instrukci, aby uživatel stiskl ⌘+R pro „spuštění“, zatímco skutečný škodlivý kód je ukrytý o mnoho prázdných řádků níže . Text navíc používá řecké a cyrilické homoglyfy ve slově „Maccy“, čímž obchází textové skenery .

Jaká data PamStealer krade?

Druhá fáze útoku – Rust-based Mach-O infostealer – sbírá široké spektrum citlivých dat :

• Přihlašovací heslo – získané přes nativní NSAlert dialog s textem „Maccy wants to make changes. Enter your password to allow this“, následně lokálně ověřené přes PAM (pam_start, pam_authenticate, pam_end) bez viditelné aktivity v terminálu .
• Položky z klíčenky – načítá Security.framework za běhu (nikoli ve statické importní tabulce) a krade hesla z macOS Keychain .
• Přihlašovací údaje, cookies a data z walletů v prohlížečích – otevírá databáze přihlašovacích údajů přímo pomocí SQLite .
• Obsah schránky – opakovaně spouští vestavěný nástroj pbpaste pro monitorování a exfiltraci zkopírovaného obsahu .
• Cíle s Full Disk Access – pokud uživatel později udělí FDA (výzva přichází s odstupem až 40 minut), malware získá přístup i k chráněným souborům .
• Průzkum kryptoměnových peněženek – konfigurace C2 zahrnuje Ethereum JSON-RPC endpointy a malware se v praxi připojuje k ethereum-rpc.publicnode[.]com .

Všechna ukradená data jsou šifrována algoritmem ChaCha20-Poly1305 a odesílána přes HTTPS na C2 endpointy (pozorované domény: avenger-sync[.]live a avengerflow[.]com) zabalená do JSON obálky MacOSapp1{"data":"..."} .

Indikátory infekce (IOC)

Spouštění kódu v Script Editoru

Před spuštěním payloadu dropper ad-hoc podepíše falešný aplikační bundle příkazem codesign -fs - --deep (nikoli legitimním Developer ID podpisem) a spustí jej skrytě – bez okna a bez ikony v Docku . Malware také před spuštěním kontroluje přítomností debugovacích nástrojů a System Integrity Protection .

Falešný proces „Finder“ využívající pbpaste

Payload druhé fáze je umístěn v bundle pojmenovaném Finder.app s bundle identifier com.apple.finder.monitor a s pravou ikonou Finder.icns zkopírovanou z /System/Library/CoreServices/ . Následně spouští pbpaste pro krádež dat ze schránky – Activity Monitor tak může ukazovat druhý proces Finder provádějící čtení schránky, což je silná anomálie .

Nové položky Login Items se zkopírovanými systémovými ikonami

Perzistence je zajištěna pomocí Login Items (nikoli LaunchAgents/LaunchDaemons) s využitím moderního API SMAppService i staršího LSSharedFileList. Malware je vložen do com.apple.finder.monitor a com.apple.security.daemon (maskuje se jako Software Update) . V panelu Login Items v Nastavení systému se nezobrazují celé cesty, a malware tak vypadá jako legitimní systémová položka .

Další indikátory

• Marker soubor s názvem .Maccy je vytvořen vedle staged bundle .
• Dropper provádí JavaScript for Automation (JXA) payload přes nativní ObjC API (NSURLSession), což produkuje méně artefaktů spouštění procesů než typické curl/osascript downloadery .
• Geo-fencing: spuštění je zrušeno, pokud časové pásmo, locale, rozložení klávesnice nebo kód země odpovídá Rusku, Bělorusku, Kazachstánu nebo 8 dalším zemím SNS .

Jak se mohou uživatelé chránit

• Stahujte Maccy pouze z legitimní domény maccy.app, nebo přes Homebrew / oficiální GitHub repozitář. Pravý projekt je open-source (MIT licence) a spravuje ho vývojář Alexey Rodionov (Team Identifier MN3X4648SC) .
• Nikdy neotevírejte .scpt soubory v Script Editoru z staženého disk image a nespouštějte je. Žádná legitimní macOS aplikace vás o to nežádá .
• Prověřujte neočekávané výzvy k zadání administrátorského hesla. Dialog PamStealeru zní „Maccy wants to make changes“ – ale skutečná aplikace by pro instalaci správce schránky z oficiálního zdroje vaše heslo nepotřebovala .
• Buďte podezřívaví k žádostem o Full Disk Access s odstupem. Pokud aplikace požádá o FDA 30–40 minut po instalaci bez zřejmého důvodu, pravděpodobně jde o malware čekající na únik .
• Zkontrolujte Login Items v Nastavení systému → Obecné → Přihlašovací položky na podezřelé položky pojmenované po systémových komponentách (např. com.apple.finder.monitor), které jste vědomě nepřidali .
• Sledujte v Activity Monitoru více procesů Finder, zejména ten, který nemá viditelné okno .