PamStealer: así funciona el malware para macOS que verifica contraseñas con el PAM de Apple antes de robarlas

Un nuevo infostealer para macOS, denominado PamStealer, está circulando activamente y emplea una técnica particularmente astuta. En lugar de aceptar ciegamente cualquier contraseña que la víctima escriba en un cuadro de diálogo falso, la valida contra los propios Módulos de Autenticación Enchufables (PAM) de Apple antes de exfiltrarla. Esto significa que los atacantes solo obtienen credenciales funcionales, no errores tipográficos o señuelos. Documentado por primera vez por Jamf Threat Labs el 2 de julio de 2026 , PamStealer representa una evolución preocupante en el robo de credenciales en macOS.

Cómo infecta PamStealer a las víctimas mediante typosquatting

El malware se distribuye desde un dominio de typosquatting — maccyapp[.]com — diseñado para suplantar al proyecto legítimo del gestor de portapapeles Maccy. El Maccy real solo se distribuye desde maccy.app, Homebrew o su repositorio oficial en GitHub . El sitio legítimo advierte explícitamente a los usuarios sobre estas páginas falsas .

Cuando una víctima visita el sitio falso, se le sirve una imagen de disco (.dmg) que contiene un archivo AppleScript compilado llamado Maccy.scpt . El Maccy legítimo nunca ha distribuido un DMG; solo se envía como Maccy.app.zip .

Al hacer doble clic, macOS abre los archivos .scpt en el Editor de Scripts por diseño. La parte visible del archivo muestra instrucciones con la marca que indican al usuario que presione ⌘+R para "comenzar", mientras que el código malicioso real está oculto muy abajo, después de un gran bloque de líneas en blanco . El texto también utiliza homoglifos griegos y cirílicos en la palabra "Maccy" para evadir los escáneres basados en texto .

¿Qué datos roba PamStealer?

El infostealer de segunda etapa, basado en Rust y en formato Mach-O, recopila una amplia gama de datos sensibles :

• Contraseña de inicio de sesión: capturada a través de un diálogo nativo de NSAlert que dice "Maccy quiere hacer cambios. Ingresa tu contraseña para permitir esto", luego validada localmente mediante PAM (pam_start, pam_authenticate, pam_end) sin actividad visible del shell .
• Entradas del llavero (Keychain): carga Security.framework en tiempo de ejecución (no en la tabla de importación estática) para extraer contraseñas del llavero de macOS .
• Credenciales, cookies y datos de extensiones de billetera del navegador: abre directamente las bases de datos de credenciales utilizando llamadas de lectura SQLite integradas .
• Contenido del portapapeles: ejecuta repetidamente la utilidad integrada pbpaste para monitorear y exfiltrar lo que el usuario copia .
• Objetivos de Acceso Total al Disco: si el usuario concede posteriormente este permiso (solicitado después de una demora de hasta 40 minutos), los archivos protegidos también se vuelven accesibles .
• Reconocimiento de billeteras de criptomonedas: la configuración del C2 incluye endpoints JSON-RPC de Ethereum, y se ha observado que el malware se conecta a ethereum-rpc.publicnode[.]com en la práctica .

Todos los datos robados se cifran con ChaCha20-Poly1305 y se exfiltran a través de HTTPS a endpoints C2 (dominios observados: avenger-sync[.]live y avengerflow[.]com), envueltos en un sobre JSON MacOSapp1{"data":"..."} .

Indicadores de infección (IOCs)

Disparadores de firma de código en el Editor de Scripts

Antes de lanzar la carga útil, el dropper firma ad-hoc el paquete de la aplicación falsa con

codesign -fs - --deep

Proceso falso de "Finder" que utiliza pbpaste

La carga útil de segunda etapa se coloca dentro de un paquete llamado Finder.app con el identificador de paquete com.apple.finder.monitor y el icono genuino Finder.icns copiado de /System/Library/CoreServices/ . Luego, genera pbpaste para robar datos del portapapeles, por lo que el Monitor de Actividad puede mostrar un segundo proceso de Finder realizando lecturas del portapapeles, una anomalía muy clara .

Nuevos elementos de inicio de sesión con iconos del sistema copiados

La persistencia se establece a través de los Elementos de Inicio de Sesión (no mediante LaunchAgents/LaunchDaemons) utilizando tanto la API moderna SMAppService como la API heredada LSSharedFileList, con el malware empaquetado en: com.apple.finder.monitor y com.apple.security.daemon (suplantando a la Actualización de Software) . Debido a que el panel de Elementos de Inicio de Sesión en Configuración del Sistema no muestra las rutas completas, el malware aparece como entradas legítimas del sistema .

Otros indicadores

• Se deja un archivo marcador llamado .Maccy junto al paquete preparado .
• El dropper ejecuta una carga útil de JavaScript para Automatización (JXA) a través de las API nativas de ObjC (NSURLSession), produciendo menos artefactos de creación de procesos que los descargadores típicos basados en curl/osascript .
• Geo-cercado: la ejecución se aborta si la zona horaria, la configuración regional, la distribución del teclado o el código de país coinciden con Rusia, Bielorrusia, Kazajistán u otros 8 países de la CEI .

Cómo pueden mantenerse seguros los usuarios

• Descarga Maccy solo desde el dominio legítimo maccy.app, o a través de Homebrew o el repositorio oficial de GitHub. El proyecto real es de código abierto (licencia MIT) y está dirigido por el desarrollador Alexey Rodionov (Identificador de Equipo MN3X4648SC) .
• Nunca abras archivos .scpt en el Editor de Scripts desde una imagen de disco descargada y presiones Ejecutar. Ninguna aplicación legítima de macOS te pide que hagas esto .
• Examina con escepticismo las solicitudes inesperadas de contraseña de administrador. El diálogo de PamStealer dice "Maccy quiere hacer cambios", pero una aplicación real no necesitaría tu contraseña para instalar un gestor de portapapeles desde su fuente oficial .
• Desconfía de las solicitudes retrasadas de Acceso Total al Disco. Si una aplicación solicita este permiso entre 30 y 40 minutos después de la instalación sin una razón obvia, es probable que sea malware que espera para eludir la atribución .
• Revisa los Elementos de Inicio de Sesión en Configuración del Sistema → General → Elementos de Inicio de Sesión para detectar entradas sospechosas con nombres de componentes del sistema (por ejemplo, com.apple.finder.monitor) que no hayas agregado intencionalmente .
• Monitorea la presencia de múltiples procesos de Finder en el Monitor de Actividad, especialmente uno que no tenga una ventana visible .