PamStealer: Ny macOS-malware stjæler adgangskoder ved hjælp af Apples eget PAM-system – sådan beskytter du dig

En ny infostealer til Mac'en – PamStealer – er på spil, og den har et særligt lumsk trick. I stedet for blindt at acceptere den adgangskode, et offer skriver i en falsk dialogboks, validerer den adgangskoden mod Apples egne PAM-moduler (Pluggable Authentication Modules), før den stjæler den ^JP. Det betyder, at angriberne kun får fat i fungerende legitimationsoplysninger – ikke tastefejl eller decoys. Først dokumenteret af Jamf Threat Labs den 2. juli 2026 ^JP repræsenterer PamStealer en bekymrende udvikling inden for tyveri af adgangskoder på macOS.

Sådan sniger PamStealer sig ind via typosquatting

Malwaren distribueres fra et typosquat-domæne – maccyapp[.]com – designet til at efterligne den legitime Maccy clipboard-manager. Den rigtige Maccy distribueres kun fra maccy.app, Homebrew eller dens officielle GitHub-repository ^MG. Den legitime side advarer udtrykkeligt brugerne om disse kopisider ^F.

Når et offer besøger den falske side, bliver de præsenteret for et disk-image (.dmg), der indeholder en kompileret AppleScript-fil med navnet Maccy.scpt ^JP. Den legitime Maccy har aldrig distribueret et DMG; den leveres kun som Maccy.app.zip ^P.

Når du dobbeltklikker på filen, åbner macOS .scpt-filer i Script Editor. Den synlige del af filen viser en brugsanvisning med instruktioner om at trykke på ⌘+R for at "komme i gang", mens den egentlige ondsindede kode er gemt langt nede efter en stor blok af tomme linjer ^JP. Teksten bruger også græske og kyrilliske homoglyffer i ordet "Maccy" for at narre tekst-baserede scannere ^JF.

Hvilke data stjæler PamStealer?

Den anden fase er en Rust-baseret Mach-O-infostealer, der indsamler en bred vifte af følsomme data ^J:

• Login-adgangskode – fanges via en indbygget NSAlert-dialog, der siger "Maccy vil foretage ændringer. Indtast din adgangskode for at tillade dette," og valideres derefter lokalt via PAM (pam_start, pam_authenticate, pam_end) uden synlig terminalaktivitet ^J.
• Keychain-poster – indlæser Security.framework ved kørsel for at trække adgangskoder fra macOS Keychain ^J.
• Browser-legitimationsoplysninger, cookies og wallet-udvidelsesdata – åbner legitimationsdatabaser direkte ved hjælp af indbyggede SQLite-læsekald ^J.
• Udklipsholder-indhold – kører gentagne gange det indbyggede pbpaste-værktøj for at overvåge og eksfiltrere alt, hvad brugeren kopierer ^JF.
• Fuld diskadgangs-mål – hvis brugeren senere giver FDA (efter en forsinkelse på op til 40 minutter), kan beskyttede filer også tilgås ^F.
• Cryptocurrency wallet-rekognoscering – C2-konfigurationen inkluderer Ethereum JSON-RPC-endpoints, og malwaren er blevet observeret forbinde til ethereum-rpc.publicnode[.]com ^J.

Alle stjålne data krypteres med ChaCha20-Poly1305 og eksfiltreres over HTTPS til C2-endpoints (observerede domæner: avenger-sync[.]live og avengerflow[.]com), indpakket i en MacOSapp1{"data":"..."} JSON-envelope ^JP.

Infektionsindikatorer (IOCs)

Script Editor-påtegning

Før lanceringen af nyttelasten signerer dropperen den falske app-bundle med codesign -fs - --deep (ikke en legitim Developer ID-signatur) og starter den skjult uden vindue eller Dock-tilstedeværelse ^J. Malwaren kontrollerer også for debugging-værktøjer og System Integrity Protection ^F.

Falsk "Finder"-proces med pbpaste

Anden-fase-nyttelasten placeres i en bundle med navnet Finder.app og bundle-identifikatoren com.apple.finder.monitor og det ægte Finder.icns-ikon kopieret fra /System/Library/CoreServices/ ^JP. Derefter spawner den pbpaste for at stjæle udklipsholder-data, så Aktivitetsvisning kan vise en ekstra Finder-proces, der udfører clipboard-læsninger – en stærk anomali ^J.

Nye login-elementer med kopierede system-ikoner

Persistens oprettes via Login-elementer (ikke LaunchAgents/LaunchDaemons) ved hjælp af både den moderne SMAppService-API og den ældre LSSharedFileList-API, med malwaren bundlet i: com.apple.finder.monitor og com.apple.security.daemon (maskerer som Software Update) ^JPF. Fordi Login-elementer-panelet i Systemindstillinger ikke viser fulde stier, fremstår malwaren som legitime systemposter ^PT.

Andre indikatorer

• En markørfil med navnet .Maccy placeres sammen med den iscenesatte bundle ^J.
• Dropperen udfører en JavaScript for Automation (JXA)-nyttelast via indbyggede ObjC-APIer (NSURLSession), hvilket producerer færre processeringsartefakter end typiske curl/osascript-downloadere ^J.
• Geo-fencing: udførelse afbrydes, hvis tidszone, sprogindstilling, tastaturlayout eller landekode matcher Rusland, Hviderusland, Kasakhstan eller 8 andre CIS-lande ^JP.

Sådan holder du dig sikker

• Download kun Maccy fra det legitime domæne maccy.app, via Homebrew eller det officielle GitHub-repository. Det rigtige projekt er open-source (MIT-licens) og drives af udvikler Alexey Rodionov (Team Identifier MN3X4648SC) ^JP.
• Åbn aldrig .scpt-filer i Script Editor fra et downloadet disk-image og tryk på Kør. Ingen legitim Mac-app beder dig om at gøre dette ^JF.
• Vær på vagt over for uventede administrator-adgangskode-prompter. PamStealers dialog siger "Maccy vil foretage ændringer" – men en rigtig app ville ikke have brug for din adgangskode for at installere en clipboard-manager fra dens officielle kilde ^J.
• Vær mistænksom over for forsinkede anmodninger om fuld diskadgang. Hvis en app beder om FDA 30–40 minutter efter installation uden åbenlys grund, er det sandsynligvis malware, der venter på at undgå at blive opdaget ^F.
• Tjek Login-elementer i Systemindstillinger > Generelt > Login-elementer for mistænkelige poster opkaldt efter systemkomponenter (f.eks. com.apple.finder.monitor), som du ikke bevidst har tilføjet ^PJ.
• Hold øje med flere Finder-processer i Aktivitetsvisning, især en der ikke har et synligt vindue ^J.