PamStealer: Ny macOS-malware stjæler adgangskoder ved hjælp af Apples eget PAM-system – sådan beskytter du dig
PamStealer er en totrins macOS infostealer først dokumenteret af Jamf Threat Labs den 2. Malwaren distribueres via typosquat domænet maccyapp[.]com, som efterligner den legitime clipboard manager Maccy.
Udgivet afRedigeret med DeepSeek-V4-FlashBilleder genereret med GPT Image 1.5
PamStealer er en totrins macOS infostealer først dokumenteret af Jamf Threat Labs den 2.
Malwaren distribueres via typosquat domænet maccyapp[.]com, som efterligner den legitime clipboard manager Maccy.
PamStealer stjæler login adgangskode (valideret via PAM), nøgleord fra Keychain, browser cookies, legitimationsoplysninger, udklipsholder indhold, og udfører rekognoscering af cryptocurrency wallets.
Infektionsindikatorer inkluderer Script Editor med en falsk Finder app (bundt id com.apple.finder.monitor), en ekstra Finder proces i Aktivitetsvisning der kører pbpaste, og nye login elementer med kopierede systemiko...
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
En ny infostealer til Mac'en – PamStealer – er på spil, og den har et særligt lumsk trick. I stedet for blindt at acceptere den adgangskode, et offer skriver i en falsk dialogboks, validerer den adgangskoden mod Apples egne PAM-moduler (Pluggable Authentication Modules), før den stjæler den . Det betyder, at angriberne kun får fat i fungerende legitimationsoplysninger – ikke tastefejl eller decoys. Først dokumenteret af Jamf Threat Labs den 2. juli 2026 repræsenterer PamStealer en bekymrende udvikling inden for tyveri af adgangskoder på macOS.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "PamStealer: Ny macOS-malware stjæler adgangskoder ved hjælp af Apples eget PAM-system – sådan beskytter du dig"?
PamStealer er en totrins macOS infostealer først dokumenteret af Jamf Threat Labs den 2.
What are the key points to validate first?
PamStealer er en totrins macOS infostealer først dokumenteret af Jamf Threat Labs den 2. Malwaren distribueres via typosquat domænet maccyapp[.]com, som efterligner den legitime clipboard manager Maccy.
What should I do next in practice?
PamStealer stjæler login adgangskode (valideret via PAM), nøgleord fra Keychain, browser cookies, legitimationsoplysninger, udklipsholder indhold, og udfører rekognoscering af cryptocurrency wallets.
PamStealer: Ny macOS-malware stjæler adgangskoder ved hjælp af Apples eget PAM-system – sådan beskytter du dig
PamStealer er en totrins macOS infostealer først dokumenteret af Jamf Threat Labs den 2. Malwaren distribueres via typosquat domænet maccyapp[.]com, som efterligner den legitime clipboard manager Maccy.
Udgivet afRedigeret med DeepSeek-V4-FlashBilleder genereret med GPT Image 1.5
PamStealer er en totrins macOS infostealer først dokumenteret af Jamf Threat Labs den 2.
Malwaren distribueres via typosquat domænet maccyapp[.]com, som efterligner den legitime clipboard manager Maccy.
PamStealer stjæler login adgangskode (valideret via PAM), nøgleord fra Keychain, browser cookies, legitimationsoplysninger, udklipsholder indhold, og udfører rekognoscering af cryptocurrency wallets.
Infektionsindikatorer inkluderer Script Editor med en falsk Finder app (bundt id com.apple.finder.monitor), en ekstra Finder proces i Aktivitetsvisning der kører pbpaste, og nye login elementer med kopierede systemiko...
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
En ny infostealer til Mac'en – PamStealer – er på spil, og den har et særligt lumsk trick. I stedet for blindt at acceptere den adgangskode, et offer skriver i en falsk dialogboks, validerer den adgangskoden mod Apples egne PAM-moduler (Pluggable Authentication Modules), før den stjæler den . Det betyder, at angriberne kun får fat i fungerende legitimationsoplysninger – ikke tastefejl eller decoys. Først dokumenteret af Jamf Threat Labs den 2. juli 2026 repræsenterer PamStealer en bekymrende udvikling inden for tyveri af adgangskoder på macOS.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "PamStealer: Ny macOS-malware stjæler adgangskoder ved hjælp af Apples eget PAM-system – sådan beskytter du dig"?
PamStealer er en totrins macOS infostealer først dokumenteret af Jamf Threat Labs den 2.
What are the key points to validate first?
PamStealer er en totrins macOS infostealer først dokumenteret af Jamf Threat Labs den 2. Malwaren distribueres via typosquat domænet maccyapp[.]com, som efterligner den legitime clipboard manager Maccy.
What should I do next in practice?
PamStealer stjæler login adgangskode (valideret via PAM), nøgleord fra Keychain, browser cookies, legitimationsoplysninger, udklipsholder indhold, og udfører rekognoscering af cryptocurrency wallets.
Malwaren distribueres fra et typosquat-domæne – maccyapp[.]com – designet til at efterligne den legitime Maccy clipboard-manager. Den rigtige Maccy distribueres kun fra maccy.app, Homebrew eller dens officielle GitHub-repository . Den legitime side advarer udtrykkeligt brugerne om disse kopisider .
Når et offer besøger den falske side, bliver de præsenteret for et disk-image (.dmg), der indeholder en kompileret AppleScript-fil med navnet Maccy.scpt. Den legitime Maccy har aldrig distribueret et DMG; den leveres kun som Maccy.app.zip.
Når du dobbeltklikker på filen, åbner macOS .scpt-filer i Script Editor. Den synlige del af filen viser en brugsanvisning med instruktioner om at trykke på ⌘+R for at "komme i gang", mens den egentlige ondsindede kode er gemt langt nede efter en stor blok af tomme linjer . Teksten bruger også græske og kyrilliske homoglyffer i ordet "Maccy" for at narre tekst-baserede scannere .
Hvilke data stjæler PamStealer?
Den anden fase er en Rust-baseret Mach-O-infostealer, der indsamler en bred vifte af følsomme data :
Login-adgangskode – fanges via en indbygget NSAlert-dialog, der siger "Maccy vil foretage ændringer. Indtast din adgangskode for at tillade dette," og valideres derefter lokalt via PAM (pam_start, pam_authenticate, pam_end) uden synlig terminalaktivitet .
Keychain-poster – indlæser Security.framework ved kørsel for at trække adgangskoder fra macOS Keychain .
Browser-legitimationsoplysninger, cookies og wallet-udvidelsesdata – åbner legitimationsdatabaser direkte ved hjælp af indbyggede SQLite-læsekald .
Udklipsholder-indhold – kører gentagne gange det indbyggede pbpaste-værktøj for at overvåge og eksfiltrere alt, hvad brugeren kopierer .
Fuld diskadgangs-mål – hvis brugeren senere giver FDA (efter en forsinkelse på op til 40 minutter), kan beskyttede filer også tilgås .
Cryptocurrency wallet-rekognoscering – C2-konfigurationen inkluderer Ethereum JSON-RPC-endpoints, og malwaren er blevet observeret forbinde til ethereum-rpc.publicnode[.]com.
Alle stjålne data krypteres med ChaCha20-Poly1305 og eksfiltreres over HTTPS til C2-endpoints (observerede domæner: avenger-sync[.]live og avengerflow[.]com), indpakket i en MacOSapp1{"data":"..."} JSON-envelope .
Infektionsindikatorer (IOCs)
Script Editor-påtegning
Før lanceringen af nyttelasten signerer dropperen den falske app-bundle med codesign -fs - --deep (ikke en legitim Developer ID-signatur) og starter den skjult uden vindue eller Dock-tilstedeværelse . Malwaren kontrollerer også for debugging-værktøjer og System Integrity Protection .
Falsk "Finder"-proces med pbpaste
Anden-fase-nyttelasten placeres i en bundle med navnet Finder.app og bundle-identifikatoren com.apple.finder.monitor og det ægte Finder.icns-ikon kopieret fra /System/Library/CoreServices/. Derefter spawner den pbpaste for at stjæle udklipsholder-data, så Aktivitetsvisning kan vise en ekstra Finder-proces, der udfører clipboard-læsninger – en stærk anomali .
Nye login-elementer med kopierede system-ikoner
Persistens oprettes via Login-elementer (ikke LaunchAgents/LaunchDaemons) ved hjælp af både den moderne SMAppService-API og den ældre LSSharedFileList-API, med malwaren bundlet i: com.apple.finder.monitor og com.apple.security.daemon (maskerer som Software Update) . Fordi Login-elementer-panelet i Systemindstillinger ikke viser fulde stier, fremstår malwaren som legitime systemposter .
Andre indikatorer
En markørfil med navnet .Maccy placeres sammen med den iscenesatte bundle .
Dropperen udfører en JavaScript for Automation (JXA)-nyttelast via indbyggede ObjC-APIer (NSURLSession), hvilket producerer færre processeringsartefakter end typiske curl/osascript-downloadere .
Geo-fencing: udførelse afbrydes, hvis tidszone, sprogindstilling, tastaturlayout eller landekode matcher Rusland, Hviderusland, Kasakhstan eller 8 andre CIS-lande .
Sådan holder du dig sikker
Download kun Maccy fra det legitime domæne maccy.app, via Homebrew eller det officielle GitHub-repository. Det rigtige projekt er open-source (MIT-licens) og drives af udvikler Alexey Rodionov (Team Identifier MN3X4648SC) .
Åbn aldrig .scpt-filer i Script Editor fra et downloadet disk-image og tryk på Kør. Ingen legitim Mac-app beder dig om at gøre dette .
Vær på vagt over for uventede administrator-adgangskode-prompter. PamStealers dialog siger "Maccy vil foretage ændringer" – men en rigtig app ville ikke have brug for din adgangskode for at installere en clipboard-manager fra dens officielle kilde .
Vær mistænksom over for forsinkede anmodninger om fuld diskadgang. Hvis en app beder om FDA 30–40 minutter efter installation uden åbenlys grund, er det sandsynligvis malware, der venter på at undgå at blive opdaget .
Tjek Login-elementer i Systemindstillinger > Generelt > Login-elementer for mistænkelige poster opkaldt efter systemkomponenter (f.eks. com.apple.finder.monitor), som du ikke bevidst har tilføjet .
Hold øje med flere Finder-processer i Aktivitetsvisning, især en der ikke har et synligt vindue .
Malwaren distribueres fra et typosquat-domæne – maccyapp[.]com – designet til at efterligne den legitime Maccy clipboard-manager. Den rigtige Maccy distribueres kun fra maccy.app, Homebrew eller dens officielle GitHub-repository . Den legitime side advarer udtrykkeligt brugerne om disse kopisider .
Når et offer besøger den falske side, bliver de præsenteret for et disk-image (.dmg), der indeholder en kompileret AppleScript-fil med navnet Maccy.scpt. Den legitime Maccy har aldrig distribueret et DMG; den leveres kun som Maccy.app.zip.
Når du dobbeltklikker på filen, åbner macOS .scpt-filer i Script Editor. Den synlige del af filen viser en brugsanvisning med instruktioner om at trykke på ⌘+R for at "komme i gang", mens den egentlige ondsindede kode er gemt langt nede efter en stor blok af tomme linjer . Teksten bruger også græske og kyrilliske homoglyffer i ordet "Maccy" for at narre tekst-baserede scannere .
Hvilke data stjæler PamStealer?
Den anden fase er en Rust-baseret Mach-O-infostealer, der indsamler en bred vifte af følsomme data :
Login-adgangskode – fanges via en indbygget NSAlert-dialog, der siger "Maccy vil foretage ændringer. Indtast din adgangskode for at tillade dette," og valideres derefter lokalt via PAM (pam_start, pam_authenticate, pam_end) uden synlig terminalaktivitet .
Keychain-poster – indlæser Security.framework ved kørsel for at trække adgangskoder fra macOS Keychain .
Browser-legitimationsoplysninger, cookies og wallet-udvidelsesdata – åbner legitimationsdatabaser direkte ved hjælp af indbyggede SQLite-læsekald .
Udklipsholder-indhold – kører gentagne gange det indbyggede pbpaste-værktøj for at overvåge og eksfiltrere alt, hvad brugeren kopierer .
Fuld diskadgangs-mål – hvis brugeren senere giver FDA (efter en forsinkelse på op til 40 minutter), kan beskyttede filer også tilgås .
Cryptocurrency wallet-rekognoscering – C2-konfigurationen inkluderer Ethereum JSON-RPC-endpoints, og malwaren er blevet observeret forbinde til ethereum-rpc.publicnode[.]com.
Alle stjålne data krypteres med ChaCha20-Poly1305 og eksfiltreres over HTTPS til C2-endpoints (observerede domæner: avenger-sync[.]live og avengerflow[.]com), indpakket i en MacOSapp1{"data":"..."} JSON-envelope .
Infektionsindikatorer (IOCs)
Script Editor-påtegning
Før lanceringen af nyttelasten signerer dropperen den falske app-bundle med codesign -fs - --deep (ikke en legitim Developer ID-signatur) og starter den skjult uden vindue eller Dock-tilstedeværelse . Malwaren kontrollerer også for debugging-værktøjer og System Integrity Protection .
Falsk "Finder"-proces med pbpaste
Anden-fase-nyttelasten placeres i en bundle med navnet Finder.app og bundle-identifikatoren com.apple.finder.monitor og det ægte Finder.icns-ikon kopieret fra /System/Library/CoreServices/. Derefter spawner den pbpaste for at stjæle udklipsholder-data, så Aktivitetsvisning kan vise en ekstra Finder-proces, der udfører clipboard-læsninger – en stærk anomali .
Nye login-elementer med kopierede system-ikoner
Persistens oprettes via Login-elementer (ikke LaunchAgents/LaunchDaemons) ved hjælp af både den moderne SMAppService-API og den ældre LSSharedFileList-API, med malwaren bundlet i: com.apple.finder.monitor og com.apple.security.daemon (maskerer som Software Update) . Fordi Login-elementer-panelet i Systemindstillinger ikke viser fulde stier, fremstår malwaren som legitime systemposter .
Andre indikatorer
En markørfil med navnet .Maccy placeres sammen med den iscenesatte bundle .
Dropperen udfører en JavaScript for Automation (JXA)-nyttelast via indbyggede ObjC-APIer (NSURLSession), hvilket producerer færre processeringsartefakter end typiske curl/osascript-downloadere .
Geo-fencing: udførelse afbrydes, hvis tidszone, sprogindstilling, tastaturlayout eller landekode matcher Rusland, Hviderusland, Kasakhstan eller 8 andre CIS-lande .
Sådan holder du dig sikker
Download kun Maccy fra det legitime domæne maccy.app, via Homebrew eller det officielle GitHub-repository. Det rigtige projekt er open-source (MIT-licens) og drives af udvikler Alexey Rodionov (Team Identifier MN3X4648SC) .
Åbn aldrig .scpt-filer i Script Editor fra et downloadet disk-image og tryk på Kør. Ingen legitim Mac-app beder dig om at gøre dette .
Vær på vagt over for uventede administrator-adgangskode-prompter. PamStealers dialog siger "Maccy vil foretage ændringer" – men en rigtig app ville ikke have brug for din adgangskode for at installere en clipboard-manager fra dens officielle kilde .
Vær mistænksom over for forsinkede anmodninger om fuld diskadgang. Hvis en app beder om FDA 30–40 minutter efter installation uden åbenlys grund, er det sandsynligvis malware, der venter på at undgå at blive opdaget .
Tjek Login-elementer i Systemindstillinger > Generelt > Login-elementer for mistænkelige poster opkaldt efter systemkomponenter (f.eks. com.apple.finder.monitor), som du ikke bevidst har tilføjet .
Hold øje med flere Finder-processer i Aktivitetsvisning, især en der ikke har et synligt vindue .
jamf.comPamStealer: macOS Malware Posing as Clipboard Manager App
playtech.roPamStealer, noul malware care vânează parolele utilizatorilor de Mac: cum se ascunde într-o aplicație aparent inofensivă
maccyapp.comDownload Maccy 2.7.3 — Free Clipboard Manager for macOS
github.comGitHub - p0deje/Maccy: Lightweight clipboard manager for macOS