PamStealer macOS-haittaohjelma: Varastaa salasanasi Applen PAM-järjestelmän avulla – näin toimit

Uusi macOS-haittaohjelma, PamStealer, on liikkeellä – ja sillä on erityisen ikävä temppu hihassaan. Sen sijaan, että se hyväksyisi sokeasti minkä tahansa uhrin kirjoittaman salasanan väärennettyyn ikkunaan, se tarkistaa salasanan Applen omaa Pluggable Authentication Modules (PAM) -järjestelmää vasten ennen sen lähettämistä. Tämä tarkoittaa, että hyökkääjät saavat vain toimivia tunnuksia, ei kirjoitusvirheitä tai harhautuksia. Jamf Threat Labs dokumentoi uhan ensimmäisen kerran 2. heinäkuuta 2026 . PamStealer edustaa huolestuttavaa kehityssuuntaa macOS:n tunnistetietovarkauksissa.

Miten PamStealer tarttuu typosquatting-hyökkäyksen kautta

Haittaohjelmaa levitetään typosquatting-verkkotunnukselta – maccyapp[.]com – joka on suunniteltu jäljittelemään aitoa Maccy-leikepöytämanageri-projektia. Oikea Maccy on ladattavissa vain osoitteesta maccy.app, Homebrew'n kautta tai sen virallisesta GitHub-repositoriosta . Laillinen sivusto varoittaa käyttäjiä nimenomaan tällaisista huijaussivuista .

Kun uhri vierailee väärennetyllä sivustolla, hänelle tarjotaan levykuvaa (.dmg), joka sisältää käännetyn AppleScript-tiedoston nimeltä Maccy.scpt . Aitoa Maccya ei ole koskaan jaeltu DMG-muodossa; se toimitetaan ainoastaan Maccy.app.zip-pakettina .

Kun tiedosto avataan kaksoisnapsauttamalla, macOS avaa .scpt-tiedostot oletuksena Script Editorissa. Tiedoston näkyvä osa näyttää brändättyjä ohjeita, jotka kehottavat käyttäjää painamaan ⌘+R "aloittaakseen", kun taas varsinainen haitallinen koodi on piilotettu kauas tyhjien rivien jälkeen . Teksti käyttää myös kreikkalaisia ja kyrillisiä homoglyfejä sanassa "Maccy" ohittaakseen tekstipohjaiset tarkistukset .

Mitä tietoja PamStealer varastaa?

Toisen vaiheen Rust-pohjainen Mach-O-tietojenkalasteluohjelma kerää laajan valikoiman arkaluonteisia tietoja :

• Kirjautumissalasana – kaapataan natiivin NSAlert-valintaikkunan avulla, jossa lukee "Maccy haluaa tehdä muutoksia. Anna salasanasi salliaksesi tämän." Salasana tarkistetaan paikallisesti PAM-moduulin kautta (pam_start, pam_authenticate, pam_end) ilman näkyvää pääteikkunatoimintaa .
• Avainnipputiedot – lataa Security.framework-kirjaston ajon aikana (ei staattisessa tuontitaulukossa) varastaakseen salasanat macOS:n avainnipusta .
• Selaimen tunnistetiedot, evästeet ja lompakon laajennustiedot – avaa tietokantoja suoraan käyttämällä mukana tulevia SQLite-lukukutsuja .
• Leikepöydän sisältö – suorittaa toistuvasti sisäänrakennettua pbpaste-työkalua seuratakseen ja lähettääkseen käyttäjän kopioimat tiedot .
• Täyden levypääsyn (FDA) kohteet – jos käyttäjä myöhemmin myöntää FDA-oikeudet (pyyntö tulee jopa 40 minuutin viiveellä), myös suojatut tiedostot tulevat saataville .
• Kryptovaluuttalompakon tunnustelu – C2-konfiguraatio sisältää Ethereum JSON-RPC-päätepisteitä, ja haittaohjelman on havaittu yhdistävän osoitteeseen ethereum-rpc.publicnode[.]com .

Kaikki varastetut tiedot salataan ChaCha20-Poly1305-menetelmällä ja lähetetään HTTPS-yhteydellä C2-palvelimille (havaitut verkkotunnukset: avenger-sync[.]live ja avengerflow[.]com), käärittynä MacOSapp1{"data":"..."} JSON-kuoreen .

Tartunnan indikaattorit (IOC:t)

Script Editor -koodin allekirjoituslaukaisimet

Ennen haitallisen kuorman käynnistämistä lataaja allekirjoittaa väärennetyn sovelluspaketin ad hoc -menetelmällä käyttäen komentoa

codesign -fs - --deep

Väärennetty "Finder"-prosessi, joka käyttää pbpaste-työkalua

Toisen vaiheen kuorma sijoitetaan Finder.app-nimiseen nippuun, jonka nipputunniste on com.apple.finder.monitor ja jossa on aito Finder.icns-kuvake kopioituna /System/Library/CoreServices/-hakemistosta . Tämä prosessi käynnistää pbpaste-työkalun varastaakseen leikepöydän tietoja, joten Aktiviteettivalvonnassa voi näkyä toinen Finder-prosessi, joka suorittaa leikepöydän lukutoimintoja – vahva poikkeama .

Uudet kirjautumiskohteet kopioiduilla järjestelmäkuvakkeilla

Pysyvyys saavutetaan Kirjautumiskohteiden kautta (ei LaunchAgents/LaunchDaemons -mekanismien) käyttäen sekä modernia SMAppService-rajapintaa että vanhempaa LSSharedFileList-rajapintaa. Haittaohjelma on paketoitu seuraaviin nippuihin: com.apple.finder.monitor ja com.apple.security.daemon (jäljitellen Ohjelmistopäivitystä) . Koska Järjestelmäasetusten Kirjautumiskohteet-näkymä ei näytä täydellisiä polkuja, haittaohjelma näyttää lailliselta järjestelmämerkinnältä .

Muut indikaattorit

• Tiedostonimellä .Maccy oleva merkkitiedosto pudotetaan vaiheistetun nipun viereen .
• Lataaja suorittaa JavaScript for Automation (JXA) -kuorman natiivien ObjC-rajapintojen (NSURLSession) kautta, mikä tuottaa vähemmän prosessien luontijälkiä kuin tyypilliset curl/osascript-pohjaiset lataajat .
• Maantieteellinen suodatus: suoritus keskeytyy, jos aikavyöhyke, lokaatio, näppäimistöasettelu tai maakoodi vastaa Venäjää, Valko-Venäjää, Kazakstania tai 8 muuta IVY-maata .

Miten käyttäjät voivat pysyä turvassa

• Lataa Maccy vain lailliselta verkkotunnukselta maccy.app, Homebrew'n kautta tai virallisesta GitHub-repositoriosta. Aito projekti on avoimen lähdekoodin (MIT-lisenssi) ja sen ylläpitäjä on kehittäjä Alexey Rodionov (Tiimin tunniste MN3X4648SC) .
• Älä koskaan avaa .scpt-tiedostoja Script Editorissa ladatusta levykuvasta ja paina Suorita-painiketta. Yksikään laillinen macOS-sovellus ei pyydä sinua tekemään näin .
• Suhtaudu epäilevästi odottamattomiin järjestelmänvalvojan salasanakehotteisiin. PamStealerin ikkunassa lukee "Maccy haluaa tehdä muutoksia" – mutta oikea sovellus ei tarvitsisi salasanaasi asentuakseen clipboard-manageria virallisesta lähteestä .
• Ole epäluuloinen viivästetyistä täyden levypääsyn (FDA) pyynnöistä. Jos sovellus pyytää FDA-oikeuksia 30–40 minuuttia asennuksen jälkeen ilman ilmeistä syytä, se on todennäköisesti haittaohjelma, joka odottaa välttääkseen havaitsemista .
• Tarkista Kirjautumiskohteet Järjestelmäasetukset → Yleiset → Kirjautumiskohteet -kohdasta epäilyttävien merkintöjen, kuten järjestelmäkomponenttien nimien (esim. com.apple.finder.monitor), varalta, joita et ole itse lisännyt .
• Tarkkaile useita Finder-prosesseja Aktiviteettivalvonnassa, erityisesti sellaista, jolla ei ole näkyvää ikkunaa .