PamStealer: איך תוכנת הריגול החדשה ל-Mac עוקפת את ההגנות שלך

תוכנת ריגול חדשה ל-macOS בשם PamStealer נמצאת בהפצה פעילה, והיא מסוכנת במיוחד. בניגוד לתוכנות ריגול אחרות שמסתפקות בגניבת כל סיסמה שהקורבן מקליד, PamStealer מאמתת את הסיסמה מול מערכת האימות של macOS (PAM) לפני שהיא שולחת אותה לתוקפים. כך, רק סיסמאות תקפות עוזבות את המחשב שלך, ולא שגיאות הקלדה או סיסמאות בדויות.

PamStealer תועדה לראשונה על ידי חוקרי Jamf Threat Labs ב-2 ביולי 2026 ומייצגת אבולוציה מדאיגה בגניבת זהויות בפלטפורמת Mac.

איך PamStealer מדביקה את הקורבנות באמצעות מתחזה (Typosquatting)

התוכנה הזדונית מופצת מאתר מתחזה — maccyapp[.]com — שמחקה את הפרויקט החוקי של מנהל הלוח Maccy. Maccy האמיתי זמין רק מ-maccy.app, Homebrew או המאגר הרשמי ב-GitHub . האתר החוקי מזהיר במפורש מפני אתרים מתחזים .

כשהקורבן מגיע לאתר המזויף, הוא מוריד תמונת דיסק (.dmg) שמכילה קובץ AppleScript מהודר בשם Maccy.scpt . Maccy האמיתי מעולם לא הופץ כ-DMG; הוא זמין רק כקובץ Maccy.app.zip .

לחיצה כפולה על הקובץ פותחת אותו ב-Script Editor (עורך הסקריפטים של macOS). החלק הגלוי של הקובץ מציג הוראות מותגיות מזויפות שאומרות למשתמש ללחוץ על ⌘+R כדי "להתחיל", בעוד שהקוד הזדוני האמיתי מוסתר הרחק מתחת לשורה ארוכה של שורות ריקות . כדי להתחמק מסורקי טקסט, המילה "Maccy" כתובה באותיות יווניות וקיריליות דומות (הומוגליפים) .

איזה נתונים PamStealer גונבת?

בשלב השני, תוכנת הריגול (הכתובה ב-Rust) אוספת מגוון רחב של מידע רגיש :

• סיסמת כניסה — נתפסת דרך חלון NSAlert שקורא "Maccy wants to make changes. Enter your password to allow this", ואז מאומתת מקומית מול PAM (pam_start, pam_authenticate, pam_end) ללא כל פעילות גלויה בטרמינל .
• מחזיק מפתחות (Keychain) — טוענת את Security.framework בזמן ריצה כדי לשלוף סיסמאות ממחזיק המפתחות .
• פרטי כניסה בדפדפן, עוגיות ונתוני ארנק קריפטו — פותחת מסדי נתונים של דפדפן באמצעות קריאות SQLite מובנות .
• תוכן הלוח — מריצה שוב ושוב את כלי המערכת pbpaste כדי לעקוב ולגנוב כל מה שהמשתמש מעתיק .
• גישה מלאה לדיסק (Full Disk Access) — אם המשתמש מעניק גישה מאוחר יותר (הבקשה מופיעה באיחור של עד 40 דקות), גם קבצים מוגנים הופכים לנגישים .
• ארנקי מטבעות קריפטו — תצורת השרת כוללת נקודות קצה של Ethereum JSON-RPC, והתוכנה נצפתה מתחברת ל-ethereum-rpc.publicnode[.]com .

כל הנתונים הגנובים מוצפנים באמצעות ChaCha20-Poly1305 ונשלחים ב-HTTPS לשרתי הפיקוד והבקרה (C2) בכתובות avenger-sync[.]live ו-avengerflow[.]com, עטופים במעטפת JSON: MacOSapp1{"data":"..."} .

סימני זיהוי הדבקה (IOCs)

חתימת קוד ב-Script Editor

לפני הפעלת הנוזקה, ה-dropper חותם את חבילת האפליקציה המזויפת בחתימה אד-הוק (

codesign -fs - --deep

תהליך "Finder" מזויף שמשתמש ב-pbpaste

הנוזקה בשלב השני מוצבת בתוך חבילה בשם Finder.app עם מזהה החבילה com.apple.finder.monitor והסמל האמיתי של Finder שהועתק מ-/System/Library/CoreServices/ . לאחר מכן היא מריצה את pbpaste כדי לגנוב תוכן לוח. ב-Activity Monitor ייתכן שתראו תהליך Finder שני שמבצע קריאות ללוח — חריגה ברורה .

פריטי כניסה חדשים עם סמלי מערכת מועתקים

הנוזקה קובעת התמדה (Persistence) דרך Login Items (ולא LaunchAgents/LaunchDaemons), תוך שימוש גם ב-API המודרני SMAppService וגם ב-API הישן LSSharedFileList. החבילות הזדוניות נקראות: com.apple.finder.monitor ו-com.apple.security.daemon (מתחזה לעדכון תוכנה) . כיוון שחלון Login Items בהגדרות המערכת לא מציג נתיבים מלאים, הנוזקה נראית כרכיב מערכת לגיטימי .

סימנים נוספים

• קובץ סימון בשם .Maccy נשמר לצד החבילה המוכנה .
• ה-dropper מריץ קוד JavaScript for Automation (JXA) דרך ממשקי ObjC מקוריים (NSURLSession), מה שמייצר פחות ערכים בתהליכים מאשר שימוש ב-curl/osascript רגילים .
• חסימה גיאוגרפית: ההפעלה נעצרת אם אזור הזמן, הלוקאל, פריסת המקלדת או קוד המדינה תואמים לרוסיה, בלארוס, קזחסטן או 8 מדינות נוספות מחבר המדינות .

איך משתמשים יכולים להישאר מוגנים

• הורידו את Maccy רק מהאתר החוקי maccy.app, או דרך Homebrew / המאגר הרשמי ב-GitHub. הפרויקט האמיתי הוא קוד פתוח תחת רישיון MIT ומפותח על ידי Alexey Rodionov (מזהה צוות MN3X4648SC)
• לעולם אל תפתחו קובצי .scpt ב-Script Editor מתמונת דיסק שהורדתם ואל תלחצו על Run. שום אפליקציה לגיטימית לא מבקשת מכם לעשות זאת
• בחנו בחשדנות בקשות סיסמה בלתי צפויות. החלון של PamStealer מראה "Maccy wants to make changes" — אבל אפליקציה אמיתית לא תצטרך את הסיסמה שלכם כדי להתקין מנהל לוח מהמקור הרשמי
• חשדו בבקשות גישה מלאה לדיסק שמגיעות באיחור. אם אפליקציה מבקשת FDA 30–40 דקות לאחר ההתקנה ללא סיבה ברורה, כנראה שמדובר בנוזקה שממתינה כדי להתחמק מזיהוי
• בדקו את פריטי הכניסה (Login Items) בהגדרות מערכת → כללי → פריטי כניסה עבור ערכים חשודים בשמות של רכיבי מערכת (למשל, com.apple.finder.monitor) שלא הוספתם בכוונה
• עקבו אחר תהליכי Finder מרובים ב-Activity Monitor, במיוחד כזה שאין לו חלון גלוי