PamStealer macOS-haittaohjelma: Varastaa salasanasi Applen PAM-järjestelmän avulla – näin toimit

Kun uhri vierailee väärennetyllä sivustolla, hänelle tarjotaan levykuvaa (.dmg), joka sisältää käännetyn AppleScript-tiedoston nimeltä Maccy.scpt ^JP. Aitoa Maccya ei ole koskaan jaeltu DMG-muodossa; se toimitetaan ainoastaan Maccy.app.zip-pakettina ^P.

Kun tiedosto avataan kaksoisnapsauttamalla, macOS avaa .scpt-tiedostot oletuksena Script Editorissa. Tiedoston näkyvä osa näyttää brändättyjä ohjeita, jotka kehottavat käyttäjää painamaan ⌘+R "aloittaakseen", kun taas varsinainen haitallinen koodi on piilotettu kauas tyhjien rivien jälkeen ^JP. Teksti käyttää myös kreikkalaisia ja kyrillisiä homoglyfejä sanassa "Maccy" ohittaakseen tekstipohjaiset tarkistukset ^JF.

Mitä tietoja PamStealer varastaa?

Toisen vaiheen Rust-pohjainen Mach-O-tietojenkalasteluohjelma kerää laajan valikoiman arkaluonteisia tietoja ^J:

• Kirjautumissalasana – kaapataan natiivin NSAlert-valintaikkunan avulla, jossa lukee "Maccy haluaa tehdä muutoksia. Anna salasanasi salliaksesi tämän." Salasana tarkistetaan paikallisesti PAM-moduulin kautta (pam_start, pam_authenticate, pam_end) ilman näkyvää pääteikkunatoimintaa ^J.
• Avainnipputiedot – lataa Security.framework-kirjaston ajon aikana (ei staattisessa tuontitaulukossa) varastaakseen salasanat macOS:n avainnipusta ^J.
• Selaimen tunnistetiedot, evästeet ja lompakon laajennustiedot – avaa tietokantoja suoraan käyttämällä mukana tulevia SQLite-lukukutsuja ^J.
• Leikepöydän sisältö – suorittaa toistuvasti sisäänrakennettua pbpaste-työkalua seuratakseen ja lähettääkseen käyttäjän kopioimat tiedot ^JF.
• Täyden levypääsyn (FDA) kohteet – jos käyttäjä myöhemmin myöntää FDA-oikeudet (pyyntö tulee jopa 40 minuutin viiveellä), myös suojatut tiedostot tulevat saataville ^F.
• Kryptovaluuttalompakon tunnustelu – C2-konfiguraatio sisältää Ethereum JSON-RPC-päätepisteitä, ja haittaohjelman on havaittu yhdistävän osoitteeseen ethereum-rpc.publicnode[.]com ^J.

Kaikki varastetut tiedot salataan ChaCha20-Poly1305-menetelmällä ja lähetetään HTTPS-yhteydellä C2-palvelimille (havaitut verkkotunnukset: avenger-sync[.]live ja avengerflow[.]com), käärittynä MacOSapp1{"data":"..."} JSON-kuoreen ^JP.

Tartunnan indikaattorit (IOC:t)

Script Editor -koodin allekirjoituslaukaisimet

Ennen haitallisen kuorman käynnistämistä lataaja allekirjoittaa väärennetyn sovelluspaketin ad hoc -menetelmällä käyttäen komentoa codesign -fs - --deep (ei aitoa Developer ID -allekirjoitusta) ja käynnistää sen piilotettuna ilman ikkunaa tai telakka-ikonia ^J. Haittaohjelma tarkistaa myös virheenkorjaustyökalut ja System Integrity Protection -suojauksen ennen toiminnan jatkamista ^F.

Väärennetty "Finder"-prosessi, joka käyttää pbpaste-työkalua

Toisen vaiheen kuorma sijoitetaan Finder.app-nimiseen nippuun, jonka nipputunniste on com.apple.finder.monitor ja jossa on aito Finder.icns-kuvake kopioituna /System/Library/CoreServices/-hakemistosta ^JP. Tämä prosessi käynnistää pbpaste-työkalun varastaakseen leikepöydän tietoja, joten Aktiviteettivalvonnassa voi näkyä toinen Finder-prosessi, joka suorittaa leikepöydän lukutoimintoja – vahva poikkeama ^J.

Uudet kirjautumiskohteet kopioiduilla järjestelmäkuvakkeilla

Pysyvyys saavutetaan Kirjautumiskohteiden kautta (ei LaunchAgents/LaunchDaemons -mekanismien) käyttäen sekä modernia SMAppService-rajapintaa että vanhempaa LSSharedFileList-rajapintaa. Haittaohjelma on paketoitu seuraaviin nippuihin: com.apple.finder.monitor ja com.apple.security.daemon (jäljitellen Ohjelmistopäivitystä) ^JPF. Koska Järjestelmäasetusten Kirjautumiskohteet-näkymä ei näytä täydellisiä polkuja, haittaohjelma näyttää lailliselta järjestelmämerkinnältä ^PT.

Muut indikaattorit

• Tiedostonimellä .Maccy oleva merkkitiedosto pudotetaan vaiheistetun nipun viereen ^J.
• Lataaja suorittaa JavaScript for Automation (JXA) -kuorman natiivien ObjC-rajapintojen (NSURLSession) kautta, mikä tuottaa vähemmän prosessien luontijälkiä kuin tyypilliset curl/osascript-pohjaiset lataajat ^J.
• Maantieteellinen suodatus: suoritus keskeytyy, jos aikavyöhyke, lokaatio, näppäimistöasettelu tai maakoodi vastaa Venäjää, Valko-Venäjää, Kazakstania tai 8 muuta IVY-maata ^JP.

Miten käyttäjät voivat pysyä turvassa

• Lataa Maccy vain lailliselta verkkotunnukselta maccy.app, Homebrew'n kautta tai virallisesta GitHub-repositoriosta. Aito projekti on avoimen lähdekoodin (MIT-lisenssi) ja sen ylläpitäjä on kehittäjä Alexey Rodionov (Tiimin tunniste MN3X4648SC) ^JP.
• Älä koskaan avaa .scpt-tiedostoja Script Editorissa ladatusta levykuvasta ja paina Suorita-painiketta. Yksikään laillinen macOS-sovellus ei pyydä sinua tekemään näin ^JF.
• Suhtaudu epäilevästi odottamattomiin järjestelmänvalvojan salasanakehotteisiin. PamStealerin ikkunassa lukee "Maccy haluaa tehdä muutoksia" – mutta oikea sovellus ei tarvitsisi salasanaasi asentuakseen clipboard-manageria virallisesta lähteestä ^J.
• Ole epäluuloinen viivästetyistä täyden levypääsyn (FDA) pyynnöistä. Jos sovellus pyytää FDA-oikeuksia 30–40 minuuttia asennuksen jälkeen ilman ilmeistä syytä, se on todennäköisesti haittaohjelma, joka odottaa välttääkseen havaitsemista ^F.
• Tarkista Kirjautumiskohteet Järjestelmäasetukset → Yleiset → Kirjautumiskohteet -kohdasta epäilyttävien merkintöjen, kuten järjestelmäkomponenttien nimien (esim. com.apple.finder.monitor), varalta, joita et ole itse lisännyt ^PJ.
• Tarkkaile useita Finder-prosesseja Aktiviteettivalvonnassa, erityisesti sellaista, jolla ei ole näkyvää ikkunaa ^J.