PamStealer: Neue macOS-Malware stiehlt Passwörter über Apples eigenes PAM-System

Besucht ein Opfer die Fälschung, wird ein Disk-Image (.dmg) heruntergeladen. Darin befindet sich eine kompilierte AppleScript-Datei namens Maccy.scpt ^JP. Das echte Maccy wurde noch nie als DMG ausgeliefert; es gibt es nur als Maccy.app.zip ^P.

Beim Doppelklick auf die .scpt-Datei öffnet macOS standardmäßig den Script Editor. Der sichtbare Teil der Datei zeigt eine Gebrauchsanweisung im Corporate Design von Maccy, die den Benutzer auffordert, ⌘+R zu drücken, um „loszulegen“. Der eigentliche Schadcode versteckt sich erst nach einem großen Block leerer Zeilen weiter unten in der Datei ^JP. Der Text verwendet zudem griechische und kyrillische Homoglyphen im Wort „Maccy“, um textbasierte Scanner auszutricksen ^JF.

Welche Daten stiehlt PamStealer?

Die zweite Stufe des Angriffs ist ein in Rust geschriebener Mach-O-Infostealer, der eine breite Palette sensibler Daten abgreift ^J:

• Login-Passwort – Wird über einen natives NSAlert-Dialog mit dem Text „Maccy möchte Änderungen vornehmen. Gib dein Passwort ein, um dies zu erlauben“ abgefangen. Das eingegebene Passwort wird lokal über PAM (pam_start, pam_authenticate, pam_end) validiert – ohne sichtbare Terminal-Aktivität ^J.
• Keychain-Einträge – Lädt zur Laufzeit das Security.framework (nicht in der statischen Importtabelle) und extrahiert damit Passwörter aus der macOS-eigenen Schlüsselverwaltung ^J.
• Browser-Zugangsdaten, Cookies und Wallet-Erweiterungen – Öffnet Datenbanken für Zugangsdaten direkt mit eingebauten SQLite-Leseaufrufen ^J.
• Zwischenablage-Inhalte – Startet wiederholt das Bordmittel pbpaste, um alles zu überwachen und abzugreifen, was der Benutzer kopiert ^JF.
• Voller Festplattenzugriff – Gewährt das Opfer später (nach einer Verzögerung von bis zu 40 Minuten) den Vollzugriff (FDA), werden auch geschützte Dateien auslesbar ^F.
• Kryptowährungs-Wallets – Die C2-Konfiguration enthält Ethereum-JSON-RPC-Endpunkte, und es wurde beobachtet, dass die Malware Verbindungen zu ethereum-rpc.publicnode[.]com aufnimmt ^J.

Alle gestohlenen Daten werden mit ChaCha20-Poly1305 verschlüsselt und per HTTPS an C2-Server (beobachtete Domains: avenger-sync[.]live und avengerflow[.]com) gesendet, verpackt in einen JSON-Envelope mit dem Präfix MacOSapp1{"data":"..."} ^JP.

Infektionsindikatoren (IOCs)

Code-Signing-Trigger im Script Editor

Bevor die Nutzlast gestartet wird, signiert der Dropper das gefälschte App-Bundle per Ad-hoc-Signatur mit codesign -fs - --deep (keine legitime Developer-ID-Signatur) und startet es unsichtbar – ohne Fenster oder Dock-Präsenz ^J. Die Malware prüft zudem auf Debugging-Tools und den Systemintegritätsschutz (SIP), bevor sie fortfährt ^F.

Gefälschter „Finder“-Prozess mit pbpaste

Die zweite Stufe wird in einem Bundle namens Finder.app mit der Bundle-ID com.apple.finder.monitor platziert. Das Icon wird vom echten Finder aus /System/Library/CoreServices/ kopiert ^JP. Im Anschluss startet der Schädling pbpaste, um die Zwischenablage auszulesen. Im Aktivitätsprotokoll kann daher ein zweiter Finder-Prozess auffallen, der pbpaste ausführt – ein starkes Indiz ^J.

Neue Login-Artikel mit kopierten System-Icons

PamStealer richtet eine Persistenz über Login-Artikel ein (nicht über LaunchAgents/LaunchDaemons) und nutzt dabei sowohl die moderne SMAppService-API als auch die veraltete LSSharedFileList-API. Die schädlichen Bundles heißen com.apple.finder.monitor und com.apple.security.daemon (als Software-Update getarnt) ^JPF. Die Login-Artikel-Ansicht in den Systemeinstellungen zeigt keine vollständigen Pfade an, sodass die Einträge wie legitime Systemkomponenten wirken ^PT.

Weitere Indikatoren

• Eine Marker-Datei namens .Maccy wird zusammen mit dem gebündelten Payload abgelegt ^J.
• Der Dropper führt eine JavaScript for Automation (JXA)-Nutzlast über native ObjC-APIs (NSURLSession) aus, was weniger Prozess-Spuren hinterlässt als typische curl/osascript-basierte Downloader ^J.
• Geo-Fencing: Die Ausführung wird abgebrochen, wenn die Zeitzone, das Gebietsschema, das Tastaturlayout oder das Land auf Russland, Belarus, Kasachstan oder acht weitere GUS-Staaten hindeuten ^JP.

Wie ihr euch schützen könnt

• Ladet Maccy ausschließlich von der offiziellen Domain „maccy.app“ herunter, über Homebrew oder das offizielle GitHub-Repository. Das echte Projekt ist Open Source (MIT-Lizenz) und wird vom Entwickler Alexey Rodionov (Team-ID MN3X4648SC) betrieben ^JP.
• Öffnet niemals .scpt-Dateien aus einem heruntergeladenen Disk-Image im Script Editor und führt sie aus. Keine legitime macOS-App verlangt so etwas ^JF.
• Hinterfragt unerwartete Admin-Passwort-Aufforderungen. Der Dialog von PamStealer lautet „Maccy möchte Änderungen vornehmen“ – eine echte App würde euer Passwort nicht brauchen, um einen Clipboard-Manager aus einer offiziellen Quelle zu installieren ^J.
• Seid misstrauisch bei verzögerten Anfragen nach vollem Festplattenzugriff. Bittet eine App 30–40 Minuten nach der Installation ohne ersichtlichen Grund um FDA, handelt es sich höchstwahrscheinlich um Schadsoftware, die versucht, die Entdeckung zu umgehen ^F.
• Prüft die Login-Artikel in den Systemeinstellungen → Allgemein → Login-Artikel auf verdächtige Einträge, die nach Systemkomponenten klingen (z. B. com.apple.finder.monitor) und die ihr nicht selbst hinzugefügt habt ^PJ.
• Achtet im Aktivitätsprotokoll auf mehrere Finder-Prozesse, insbesondere auf einen, der kein sichtbares Fenster hat ^J.