PamStealer : le voleur de mots de passe macOS qui exploite le système d'authentification d'Apple

Lorsque vous visitez ce faux site, on vous propose de télécharger un fichier .dmg. À l'intérieur, vous trouvez un fichier AppleScript compilé nommé Maccy.scpt ^JP. Il est important de savoir que le véritable Maccy n'a jamais été distribué sous forme de DMG ; il est uniquement disponible en Maccy.app.zip ^P.

Si vous double-cliquez sur ce fichier .scpt, macOS l'ouvre par défaut dans Script Editor. La partie visible du fichier affiche des instructions semblant officielles, vous invitant à appuyer sur la combinaison de touches ⌘+R pour « démarrer ». En réalité, le code malveillant est caché bien plus bas, après une longue série de lignes vides ^JP. Pour brouiller les pistes et échapper aux scanners, le texte utilise des homoglyphes grecs et cyrilliques dans le mot « Maccy » ^JF.

Quelles sont les données dérobées par PamStealer ?

La deuxième étape de l'attaque est un infostealer en Rust (un langage de programmation performant et moins courant sur macOS, ce qui complique l'analyse par les virus) ^J. Il collecte un large éventail de données :

• Votre mot de passe de session : capturé via une fausse boîte de dialogue macOS qui indique « Maccy wants to make changes. Enter your password to allow this. » Il est ensuite validé localement via les PAM (pam_start, pam_authenticate, pam_end) sans aucune activité visible dans le Terminal ^J.
• Les entrées du Trousseau (Keychain) d'Apple : le malware utilise la Security.framework pour dérober tous vos mots de passe enregistrés ^J.
• Les identifiants et cookies des navigateurs et les données des extensions de portefeuille crypto : il ouvre directement les bases de données SQLite de vos navigateurs ^J.
• Tout le contenu de votre presse-papiers : il lance en boucle l'utilitaire pbpaste (une commande macOS intégrée) pour surveiller et voler tout ce que vous copiez ^JF.
• Les données protégées par l'Accès au disque complet : si vous accordez cette autorisation (la demande est faite après un délai pouvant aller jusqu'à 40 minutes pour échapper à la détection), il peut alors accéder à des fichiers supplémentaires ^F.
• Reconnaissance des portefeuilles de cryptomonnaies : le logiciel inclut dans sa configuration des points d'accès Ethereum JSON-RPC et a été observé se connectant à ethereum-rpc.publicnode[.]com ^J.

Toutes les données volées sont chiffrées avec l'algorithme ChaCha20-Poly1305 (un chiffrement moderne et robuste) et exfiltrées via une connexion HTTPS vers les serveurs des attaquants (les noms de domaine avenger-sync[.]live et avengerflow[.]com ont été observés), emballées dans un format JSON (MacOSapp1{"data":"..."}) ^JP.

Indicateurs d'infection (IOC) : comment repérer PamStealer

Signatures et déclencheurs liés à Script Editor

Avant de lancer la charge utile, le programme d'installation (dropper) signe ad hoc le faux paquet d'application avec la commande codesign -fs - --deep. Il ne s'agit pas d'une signature développeur Apple légitime. Il lance ensuite l'application de manière cachée, sans fenêtre ni icône dans le Dock ^J. Le malware vérifie également la présence d'outils de débogage et l'état de la protection d'intégrité du système (SIP) avant d'agir ^F.

Un faux processus « Finder » qui surveille le presse-papiers

La charge utile de la deuxième étape est dissimulée dans un paquet nommé Finder.app avec un identifiant de paquet com.apple.finder.monitor. Il copie même l'icône authentique de l'application Finder depuis /System/Library/CoreServices/ ^JP. Le logiciel malveillant utilise ensuite pbpaste pour dérober le contenu du presse-papiers. Par conséquent, si vous ouvrez le Moniteur d'activité, vous pourriez voir deux processus Finder tourner, dont l'un effectue des opérations de lecture du presse-papiers — un signe très suspect ^J.

De nouveaux éléments de connexion avec des icônes système copiées

Pour s'assurer de survivre à un redémarrage, PamStealer établit sa persistance via les Éléments de connexion (Login Items) et non via les LaunchAgents ou LaunchDaemons traditionnels. Il utilise à la fois la nouvelle API SMAppService et l'ancienne API LSSharedFileList. Les paquets malveillants sont nommés de manière à ressembler à des composants système : com.apple.finder.monitor et com.apple.security.daemon (se faisant passer pour une mise à jour logicielle) ^JPF. Comme le panneau des Éléments de connexion dans les Réglages Système n'affiche pas les chemins complets, ces entrées peuvent facilement passer pour des processus système légitimes ^PT.

Autres indices

• Un fichier de marqueur nommé .Maccy est déposé aux côtés du paquet de la charge utile ^J.
• Le programme d'installation exécute une charge utile en JavaScript for Automation (JXA) via les API ObjC natives, ce qui génère moins d'artefacts que les téléchargeurs utilisant curl ou osascript ^J.
• Géo-blocage : le malware s'arrête immédiatement si le fuseau horaire, la langue, la disposition du clavier ou le code du pays correspondent à la Russie, la Biélorussie, le Kazakhstan ou 8 autres pays de la CEI ^JP.

Comment se protéger et éviter l'infection

• Ne téléchargez Maccy que depuis le site officiel maccy.app, ou via Homebrew / le dépôt GitHub officiel. Le vrai projet est open-source (licence MIT) et développé par Alexey Rodionov ^JP.
• N'ouvrez jamais de fichier .scpt trouvé sur Internet (surtout dans un fichier DMG téléchargé) et n'appuyez pas sur le bouton Exécuter. Aucun logiciel macOS légitime ne vous demandera de faire cela ^JF.
• Méfiez-vous des demandes de mot de passe administrateur inattendues. La boîte de dialogue de PamStealer indique « Maccy wants to make changes » — mais un vrai gestionnaire de presse-papiers n'a pas besoin de votre mot de passe pour s'installer ^J.
• Restez vigilant face aux demandes d'Accès au disque complet qui apparaissent 30 à 40 minutes après l'installation. C'est une technique courante des malwares pour éviter d'être immédiatement associés à l'application que vous venez de lancer ^F.
• Vérifiez régulièrement vos Éléments de connexion dans Réglages Système → Général → Éléments de connexion. Cherchez les entrées suspectes portant des noms de composants système (com.apple.finder.monitor) que vous n'auriez pas ajoutées intentionnellement ^PJ.
• Surveillez le Moniteur d'activité pour détecter la présence de plusieurs processus Finder, en particulier un qui n'a pas de fenêtre ouverte ^J.