Zu den Infektionsindikatoren gehören ein gefälschter Finder Prozess, der pbpaste ausführt, neue Login Artikel mit kopierten System Icons und eine Marker Datei namens .Maccy.
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
Eine neue macOS-Schadsoftware namens PamStealer macht derzeit die Runde – und sie hat eine besonders fiese Methode im Gepäck. Statt blindlings jedes Passwort zu akzeptieren, das ein Opfer in ein gefälschtes Dialogfeld tippt, prüft der Infostealer die Eingabe direkt gegen Apples eigene „Pluggable Authentication Modules“ (PAM). So gelangen nur echt gültige Zugangsdaten in die Hände der Angreifer – Tippfehler oder bewusste Fehleingaben werden aussortiert. Erstmals dokumentiert von Jamf Threat Labs am 2. Juli 2026 , ist PamStealer eine besorgniserregende Weiterentwicklung des macOS-Passwortdiebstahls.
Wie PamStealer via Typosquatting zuschlägt
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „PamStealer: Neue macOS-Malware stiehlt Passwörter über Apples eigenes PAM-System“?
PamStealer ist ein zweistufiger macOS Infostealer, der erstmals am 2. Juli 2026 von Jamf Threat Labs dokumentiert wurde.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
PamStealer ist ein zweistufiger macOS Infostealer, der erstmals am 2. Juli 2026 von Jamf Threat Labs dokumentiert wurde. Die Malware wird über eine Typosquatting Domain (maccyapp[.]com) verbreitet, die die legitime Maccy App imitiert.
Zu den Infektionsindikatoren gehören ein gefälschter Finder Prozess, der pbpaste ausführt, neue Login Artikel mit kopierten System Icons und eine Marker Datei namens .Maccy.
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
Eine neue macOS-Schadsoftware namens PamStealer macht derzeit die Runde – und sie hat eine besonders fiese Methode im Gepäck. Statt blindlings jedes Passwort zu akzeptieren, das ein Opfer in ein gefälschtes Dialogfeld tippt, prüft der Infostealer die Eingabe direkt gegen Apples eigene „Pluggable Authentication Modules“ (PAM). So gelangen nur echt gültige Zugangsdaten in die Hände der Angreifer – Tippfehler oder bewusste Fehleingaben werden aussortiert. Erstmals dokumentiert von Jamf Threat Labs am 2. Juli 2026 , ist PamStealer eine besorgniserregende Weiterentwicklung des macOS-Passwortdiebstahls.
Wie PamStealer via Typosquatting zuschlägt
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „PamStealer: Neue macOS-Malware stiehlt Passwörter über Apples eigenes PAM-System“?
PamStealer ist ein zweistufiger macOS Infostealer, der erstmals am 2. Juli 2026 von Jamf Threat Labs dokumentiert wurde.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
PamStealer ist ein zweistufiger macOS Infostealer, der erstmals am 2. Juli 2026 von Jamf Threat Labs dokumentiert wurde. Die Malware wird über eine Typosquatting Domain (maccyapp[.]com) verbreitet, die die legitime Maccy App imitiert.
Die Verteilung der Malware erfolgt über eine Typosquatting-Domain – maccyapp[.]com – die den legitimen Clipboard-Manager Maccy imitieren soll. Das echte Maccy wird ausschließlich über maccy.app, Homebrew oder sein offizielles GitHub-Repository verteilt . Die legitime Seite warnt auf ihrer Webseite ausdrücklich vor solchen Nachahmerseiten .
Besucht ein Opfer die Fälschung, wird ein Disk-Image (.dmg) heruntergeladen. Darin befindet sich eine kompilierte AppleScript-Datei namens Maccy.scpt. Das echte Maccy wurde noch nie als DMG ausgeliefert; es gibt es nur als Maccy.app.zip.
Beim Doppelklick auf die .scpt-Datei öffnet macOS standardmäßig den Script Editor. Der sichtbare Teil der Datei zeigt eine Gebrauchsanweisung im Corporate Design von Maccy, die den Benutzer auffordert, ⌘+R zu drücken, um „loszulegen“. Der eigentliche Schadcode versteckt sich erst nach einem großen Block leerer Zeilen weiter unten in der Datei . Der Text verwendet zudem griechische und kyrillische Homoglyphen im Wort „Maccy“, um textbasierte Scanner auszutricksen .
Welche Daten stiehlt PamStealer?
Die zweite Stufe des Angriffs ist ein in Rust geschriebener Mach-O-Infostealer, der eine breite Palette sensibler Daten abgreift :
Login-Passwort – Wird über einen natives NSAlert-Dialog mit dem Text „Maccy möchte Änderungen vornehmen. Gib dein Passwort ein, um dies zu erlauben“ abgefangen. Das eingegebene Passwort wird lokal über PAM (pam_start, pam_authenticate, pam_end) validiert – ohne sichtbare Terminal-Aktivität .
Keychain-Einträge – Lädt zur Laufzeit das Security.framework (nicht in der statischen Importtabelle) und extrahiert damit Passwörter aus der macOS-eigenen Schlüsselverwaltung .
Browser-Zugangsdaten, Cookies und Wallet-Erweiterungen – Öffnet Datenbanken für Zugangsdaten direkt mit eingebauten SQLite-Leseaufrufen .
Zwischenablage-Inhalte – Startet wiederholt das Bordmittel pbpaste, um alles zu überwachen und abzugreifen, was der Benutzer kopiert .
Voller Festplattenzugriff – Gewährt das Opfer später (nach einer Verzögerung von bis zu 40 Minuten) den Vollzugriff (FDA), werden auch geschützte Dateien auslesbar .
Kryptowährungs-Wallets – Die C2-Konfiguration enthält Ethereum-JSON-RPC-Endpunkte, und es wurde beobachtet, dass die Malware Verbindungen zu ethereum-rpc.publicnode[.]com aufnimmt .
Alle gestohlenen Daten werden mit ChaCha20-Poly1305 verschlüsselt und per HTTPS an C2-Server (beobachtete Domains: avenger-sync[.]live und avengerflow[.]com) gesendet, verpackt in einen JSON-Envelope mit dem Präfix MacOSapp1{"data":"..."}.
Infektionsindikatoren (IOCs)
Code-Signing-Trigger im Script Editor
Bevor die Nutzlast gestartet wird, signiert der Dropper das gefälschte App-Bundle per Ad-hoc-Signatur mit codesign -fs - --deep (keine legitime Developer-ID-Signatur) und startet es unsichtbar – ohne Fenster oder Dock-Präsenz . Die Malware prüft zudem auf Debugging-Tools und den Systemintegritätsschutz (SIP), bevor sie fortfährt .
Gefälschter „Finder“-Prozess mit pbpaste
Die zweite Stufe wird in einem Bundle namens Finder.app mit der Bundle-ID com.apple.finder.monitor platziert. Das Icon wird vom echten Finder aus /System/Library/CoreServices/ kopiert . Im Anschluss startet der Schädling pbpaste, um die Zwischenablage auszulesen. Im Aktivitätsprotokoll kann daher ein zweiter Finder-Prozess auffallen, der pbpaste ausführt – ein starkes Indiz .
Neue Login-Artikel mit kopierten System-Icons
PamStealer richtet eine Persistenz über Login-Artikel ein (nicht über LaunchAgents/LaunchDaemons) und nutzt dabei sowohl die moderne SMAppService-API als auch die veraltete LSSharedFileList-API. Die schädlichen Bundles heißen com.apple.finder.monitor und com.apple.security.daemon (als Software-Update getarnt) . Die Login-Artikel-Ansicht in den Systemeinstellungen zeigt keine vollständigen Pfade an, sodass die Einträge wie legitime Systemkomponenten wirken .
Weitere Indikatoren
Eine Marker-Datei namens .Maccy wird zusammen mit dem gebündelten Payload abgelegt .
Der Dropper führt eine JavaScript for Automation (JXA)-Nutzlast über native ObjC-APIs (NSURLSession) aus, was weniger Prozess-Spuren hinterlässt als typische curl/osascript-basierte Downloader .
Geo-Fencing: Die Ausführung wird abgebrochen, wenn die Zeitzone, das Gebietsschema, das Tastaturlayout oder das Land auf Russland, Belarus, Kasachstan oder acht weitere GUS-Staaten hindeuten .
Wie ihr euch schützen könnt
Ladet Maccy ausschließlich von der offiziellen Domain „maccy.app“ herunter, über Homebrew oder das offizielle GitHub-Repository. Das echte Projekt ist Open Source (MIT-Lizenz) und wird vom Entwickler Alexey Rodionov (Team-ID MN3X4648SC) betrieben .
Öffnet niemals .scpt-Dateien aus einem heruntergeladenen Disk-Image im Script Editor und führt sie aus. Keine legitime macOS-App verlangt so etwas .
Hinterfragt unerwartete Admin-Passwort-Aufforderungen. Der Dialog von PamStealer lautet „Maccy möchte Änderungen vornehmen“ – eine echte App würde euer Passwort nicht brauchen, um einen Clipboard-Manager aus einer offiziellen Quelle zu installieren .
Seid misstrauisch bei verzögerten Anfragen nach vollem Festplattenzugriff. Bittet eine App 30–40 Minuten nach der Installation ohne ersichtlichen Grund um FDA, handelt es sich höchstwahrscheinlich um Schadsoftware, die versucht, die Entdeckung zu umgehen .
Prüft die Login-Artikel in den Systemeinstellungen → Allgemein → Login-Artikel auf verdächtige Einträge, die nach Systemkomponenten klingen (z. B. com.apple.finder.monitor) und die ihr nicht selbst hinzugefügt habt .
Achtet im Aktivitätsprotokoll auf mehrere Finder-Prozesse, insbesondere auf einen, der kein sichtbares Fenster hat .
Die Verteilung der Malware erfolgt über eine Typosquatting-Domain – maccyapp[.]com – die den legitimen Clipboard-Manager Maccy imitieren soll. Das echte Maccy wird ausschließlich über maccy.app, Homebrew oder sein offizielles GitHub-Repository verteilt . Die legitime Seite warnt auf ihrer Webseite ausdrücklich vor solchen Nachahmerseiten .
Besucht ein Opfer die Fälschung, wird ein Disk-Image (.dmg) heruntergeladen. Darin befindet sich eine kompilierte AppleScript-Datei namens Maccy.scpt. Das echte Maccy wurde noch nie als DMG ausgeliefert; es gibt es nur als Maccy.app.zip.
Beim Doppelklick auf die .scpt-Datei öffnet macOS standardmäßig den Script Editor. Der sichtbare Teil der Datei zeigt eine Gebrauchsanweisung im Corporate Design von Maccy, die den Benutzer auffordert, ⌘+R zu drücken, um „loszulegen“. Der eigentliche Schadcode versteckt sich erst nach einem großen Block leerer Zeilen weiter unten in der Datei . Der Text verwendet zudem griechische und kyrillische Homoglyphen im Wort „Maccy“, um textbasierte Scanner auszutricksen .
Welche Daten stiehlt PamStealer?
Die zweite Stufe des Angriffs ist ein in Rust geschriebener Mach-O-Infostealer, der eine breite Palette sensibler Daten abgreift :
Login-Passwort – Wird über einen natives NSAlert-Dialog mit dem Text „Maccy möchte Änderungen vornehmen. Gib dein Passwort ein, um dies zu erlauben“ abgefangen. Das eingegebene Passwort wird lokal über PAM (pam_start, pam_authenticate, pam_end) validiert – ohne sichtbare Terminal-Aktivität .
Keychain-Einträge – Lädt zur Laufzeit das Security.framework (nicht in der statischen Importtabelle) und extrahiert damit Passwörter aus der macOS-eigenen Schlüsselverwaltung .
Browser-Zugangsdaten, Cookies und Wallet-Erweiterungen – Öffnet Datenbanken für Zugangsdaten direkt mit eingebauten SQLite-Leseaufrufen .
Zwischenablage-Inhalte – Startet wiederholt das Bordmittel pbpaste, um alles zu überwachen und abzugreifen, was der Benutzer kopiert .
Voller Festplattenzugriff – Gewährt das Opfer später (nach einer Verzögerung von bis zu 40 Minuten) den Vollzugriff (FDA), werden auch geschützte Dateien auslesbar .
Kryptowährungs-Wallets – Die C2-Konfiguration enthält Ethereum-JSON-RPC-Endpunkte, und es wurde beobachtet, dass die Malware Verbindungen zu ethereum-rpc.publicnode[.]com aufnimmt .
Alle gestohlenen Daten werden mit ChaCha20-Poly1305 verschlüsselt und per HTTPS an C2-Server (beobachtete Domains: avenger-sync[.]live und avengerflow[.]com) gesendet, verpackt in einen JSON-Envelope mit dem Präfix MacOSapp1{"data":"..."}.
Infektionsindikatoren (IOCs)
Code-Signing-Trigger im Script Editor
Bevor die Nutzlast gestartet wird, signiert der Dropper das gefälschte App-Bundle per Ad-hoc-Signatur mit codesign -fs - --deep (keine legitime Developer-ID-Signatur) und startet es unsichtbar – ohne Fenster oder Dock-Präsenz . Die Malware prüft zudem auf Debugging-Tools und den Systemintegritätsschutz (SIP), bevor sie fortfährt .
Gefälschter „Finder“-Prozess mit pbpaste
Die zweite Stufe wird in einem Bundle namens Finder.app mit der Bundle-ID com.apple.finder.monitor platziert. Das Icon wird vom echten Finder aus /System/Library/CoreServices/ kopiert . Im Anschluss startet der Schädling pbpaste, um die Zwischenablage auszulesen. Im Aktivitätsprotokoll kann daher ein zweiter Finder-Prozess auffallen, der pbpaste ausführt – ein starkes Indiz .
Neue Login-Artikel mit kopierten System-Icons
PamStealer richtet eine Persistenz über Login-Artikel ein (nicht über LaunchAgents/LaunchDaemons) und nutzt dabei sowohl die moderne SMAppService-API als auch die veraltete LSSharedFileList-API. Die schädlichen Bundles heißen com.apple.finder.monitor und com.apple.security.daemon (als Software-Update getarnt) . Die Login-Artikel-Ansicht in den Systemeinstellungen zeigt keine vollständigen Pfade an, sodass die Einträge wie legitime Systemkomponenten wirken .
Weitere Indikatoren
Eine Marker-Datei namens .Maccy wird zusammen mit dem gebündelten Payload abgelegt .
Der Dropper führt eine JavaScript for Automation (JXA)-Nutzlast über native ObjC-APIs (NSURLSession) aus, was weniger Prozess-Spuren hinterlässt als typische curl/osascript-basierte Downloader .
Geo-Fencing: Die Ausführung wird abgebrochen, wenn die Zeitzone, das Gebietsschema, das Tastaturlayout oder das Land auf Russland, Belarus, Kasachstan oder acht weitere GUS-Staaten hindeuten .
Wie ihr euch schützen könnt
Ladet Maccy ausschließlich von der offiziellen Domain „maccy.app“ herunter, über Homebrew oder das offizielle GitHub-Repository. Das echte Projekt ist Open Source (MIT-Lizenz) und wird vom Entwickler Alexey Rodionov (Team-ID MN3X4648SC) betrieben .
Öffnet niemals .scpt-Dateien aus einem heruntergeladenen Disk-Image im Script Editor und führt sie aus. Keine legitime macOS-App verlangt so etwas .
Hinterfragt unerwartete Admin-Passwort-Aufforderungen. Der Dialog von PamStealer lautet „Maccy möchte Änderungen vornehmen“ – eine echte App würde euer Passwort nicht brauchen, um einen Clipboard-Manager aus einer offiziellen Quelle zu installieren .
Seid misstrauisch bei verzögerten Anfragen nach vollem Festplattenzugriff. Bittet eine App 30–40 Minuten nach der Installation ohne ersichtlichen Grund um FDA, handelt es sich höchstwahrscheinlich um Schadsoftware, die versucht, die Entdeckung zu umgehen .
Prüft die Login-Artikel in den Systemeinstellungen → Allgemein → Login-Artikel auf verdächtige Einträge, die nach Systemkomponenten klingen (z. B. com.apple.finder.monitor) und die ihr nicht selbst hinzugefügt habt .
Achtet im Aktivitätsprotokoll auf mehrere Finder-Prozesse, insbesondere auf einen, der kein sichtbares Fenster hat .
jamf.comPamStealer: macOS Malware Posing as Clipboard Manager App
playtech.roPamStealer, noul malware care vânează parolele utilizatorilor de Mac: cum se ascunde într-o aplicație aparent inofensivă
maccyapp.comDownload Maccy 2.7.3 — Free Clipboard Manager for macOS
github.comGitHub - p0deje/Maccy: Lightweight clipboard manager for macOS