PamStealer: איך תוכנת הריגול החדשה ל-Mac עוקפת את ההגנות שלך
PamStealer היא תוכנת ריגול דו שלבית ל macOS שתועדה לראשונה על ידי Jamf Threat Labs ב 2 ביולי 2026; היא משתמשת ב PAM של אפל כדי לאמת סיסמאות מקומית לפני גניבתן, מה שמבטיח שרק פרטי כניסה תקפים נשלחים לתוקפים ההדבקה מתבצעת דרך אתר מתחזה (maccyapp[.]com) שמחקה את מנהל הלוח Maccy; המשתמש מוריד קובץ AppleScript (.scpt) שכ...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
PamStealer היא תוכנת ריגול דו שלבית ל macOS שתועדה לראשונה על ידי Jamf Threat Labs ב 2 ביולי 2026; היא משתמשת ב PAM של אפל כדי לאמת סיסמאות מקומית לפני גניבתן, מה שמבטיח שרק פרטי כניסה תקפים נשלחים לתוקפים
ההדבקה מתבצעת דרך אתר מתחזה (maccyapp[.]com) שמחקה את מנהל הלוח Maccy; המשתמש מוריד קובץ AppleScript (.scpt) שכאשר לוחצים עליו פעמיים נפתח ב Script Editor ומבקש ללחוץ ⌘+R כדי להפעיל את הקוד הזדוני המוסתר
בשלב השני, תוכנת הריגול (כתובה ב Rust) אוספת: סיסמת כניסה, פרטי מחזיק מפתחות, נתוני דפדפן, ארנקי קריפטו, תוכן לוח ומבקשת גישה מלאה לדיסק (FDA) באיחור של עד 40 דקות
סימני זיהום מרכזיים: תהליך Finder שני ב Activity Monitor שמריץ pbpaste, פריטי כניסה (Login Items) בשמות com.apple.finder.monitor ו com.apple.security.daemon, וקובץ סימון בשם .Maccy
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
תוכנת ריגול חדשה ל-macOS בשם PamStealer נמצאת בהפצה פעילה, והיא מסוכנת במיוחד. בניגוד לתוכנות ריגול אחרות שמסתפקות בגניבת כל סיסמה שהקורבן מקליד, PamStealer מאמתת את הסיסמה מול מערכת האימות של macOS (PAM) לפני שהיא שולחת אותה לתוקפים. כך, רק סיסמאות תקפות עוזבות את המחשב שלך, ולא שגיאות הקלדה או סיסמאות בדויות.
PamStealer תועדה לראשונה על ידי חוקרי Jamf Threat Labs ב-2 ביולי 2026 ומייצגת אבולוציה מדאיגה בגניבת זהויות בפלטפורמת Mac.
איך PamStealer מדביקה את הקורבנות באמצעות מתחזה (Typosquatting)
התוכנה הזדונית מופצת מאתר מתחזה — maccyapp[.]com — שמחקה את הפרויקט החוקי של מנהל הלוח Maccy. Maccy האמיתי זמין רק מ-, Homebrew או המאגר הרשמי ב-GitHub . האתר החוקי מזהיר במפורש מפני אתרים מתחזים .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "PamStealer: איך תוכנת הריגול החדשה ל-Mac עוקפת את ההגנות שלך"?
PamStealer היא תוכנת ריגול דו שלבית ל macOS שתועדה לראשונה על ידי Jamf Threat Labs ב 2 ביולי 2026; היא משתמשת ב PAM של אפל כדי לאמת סיסמאות מקומית לפני גניבתן, מה שמבטיח שרק פרטי כניסה תקפים נשלחים לתוקפים
What are the key points to validate first?
PamStealer היא תוכנת ריגול דו שלבית ל macOS שתועדה לראשונה על ידי Jamf Threat Labs ב 2 ביולי 2026; היא משתמשת ב PAM של אפל כדי לאמת סיסמאות מקומית לפני גניבתן, מה שמבטיח שרק פרטי כניסה תקפים נשלחים לתוקפים ההדבקה מתבצעת דרך אתר מתחזה (maccyapp[.]com) שמחקה את מנהל הלוח Maccy; המשתמש מוריד קובץ AppleScript (.scpt) שכאשר לוחצים עליו פעמיים נפתח ב Script Editor ומבקש ללחוץ ⌘+R כדי להפעיל את הקוד הזדוני המוסתר
What should I do next in practice?
בשלב השני, תוכנת הריגול (כתובה ב Rust) אוספת: סיסמת כניסה, פרטי מחזיק מפתחות, נתוני דפדפן, ארנקי קריפטו, תוכן לוח ומבקשת גישה מלאה לדיסק (FDA) באיחור של עד 40 דקות
PamStealer: איך תוכנת הריגול החדשה ל-Mac עוקפת את ההגנות שלך
PamStealer היא תוכנת ריגול דו שלבית ל macOS שתועדה לראשונה על ידי Jamf Threat Labs ב 2 ביולי 2026; היא משתמשת ב PAM של אפל כדי לאמת סיסמאות מקומית לפני גניבתן, מה שמבטיח שרק פרטי כניסה תקפים נשלחים לתוקפים ההדבקה מתבצעת דרך אתר מתחזה (maccyapp[.]com) שמחקה את מנהל הלוח Maccy; המשתמש מוריד קובץ AppleScript (.scpt) שכ...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
PamStealer היא תוכנת ריגול דו שלבית ל macOS שתועדה לראשונה על ידי Jamf Threat Labs ב 2 ביולי 2026; היא משתמשת ב PAM של אפל כדי לאמת סיסמאות מקומית לפני גניבתן, מה שמבטיח שרק פרטי כניסה תקפים נשלחים לתוקפים
ההדבקה מתבצעת דרך אתר מתחזה (maccyapp[.]com) שמחקה את מנהל הלוח Maccy; המשתמש מוריד קובץ AppleScript (.scpt) שכאשר לוחצים עליו פעמיים נפתח ב Script Editor ומבקש ללחוץ ⌘+R כדי להפעיל את הקוד הזדוני המוסתר
בשלב השני, תוכנת הריגול (כתובה ב Rust) אוספת: סיסמת כניסה, פרטי מחזיק מפתחות, נתוני דפדפן, ארנקי קריפטו, תוכן לוח ומבקשת גישה מלאה לדיסק (FDA) באיחור של עד 40 דקות
סימני זיהום מרכזיים: תהליך Finder שני ב Activity Monitor שמריץ pbpaste, פריטי כניסה (Login Items) בשמות com.apple.finder.monitor ו com.apple.security.daemon, וקובץ סימון בשם .Maccy
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
תוכנת ריגול חדשה ל-macOS בשם PamStealer נמצאת בהפצה פעילה, והיא מסוכנת במיוחד. בניגוד לתוכנות ריגול אחרות שמסתפקות בגניבת כל סיסמה שהקורבן מקליד, PamStealer מאמתת את הסיסמה מול מערכת האימות של macOS (PAM) לפני שהיא שולחת אותה לתוקפים. כך, רק סיסמאות תקפות עוזבות את המחשב שלך, ולא שגיאות הקלדה או סיסמאות בדויות.
PamStealer תועדה לראשונה על ידי חוקרי Jamf Threat Labs ב-2 ביולי 2026 ומייצגת אבולוציה מדאיגה בגניבת זהויות בפלטפורמת Mac.
איך PamStealer מדביקה את הקורבנות באמצעות מתחזה (Typosquatting)
התוכנה הזדונית מופצת מאתר מתחזה — maccyapp[.]com — שמחקה את הפרויקט החוקי של מנהל הלוח Maccy. Maccy האמיתי זמין רק מ-, Homebrew או המאגר הרשמי ב-GitHub . האתר החוקי מזהיר במפורש מפני אתרים מתחזים .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "PamStealer: איך תוכנת הריגול החדשה ל-Mac עוקפת את ההגנות שלך"?
PamStealer היא תוכנת ריגול דו שלבית ל macOS שתועדה לראשונה על ידי Jamf Threat Labs ב 2 ביולי 2026; היא משתמשת ב PAM של אפל כדי לאמת סיסמאות מקומית לפני גניבתן, מה שמבטיח שרק פרטי כניסה תקפים נשלחים לתוקפים
What are the key points to validate first?
PamStealer היא תוכנת ריגול דו שלבית ל macOS שתועדה לראשונה על ידי Jamf Threat Labs ב 2 ביולי 2026; היא משתמשת ב PAM של אפל כדי לאמת סיסמאות מקומית לפני גניבתן, מה שמבטיח שרק פרטי כניסה תקפים נשלחים לתוקפים ההדבקה מתבצעת דרך אתר מתחזה (maccyapp[.]com) שמחקה את מנהל הלוח Maccy; המשתמש מוריד קובץ AppleScript (.scpt) שכאשר לוחצים עליו פעמיים נפתח ב Script Editor ומבקש ללחוץ ⌘+R כדי להפעיל את הקוד הזדוני המוסתר
What should I do next in practice?
בשלב השני, תוכנת הריגול (כתובה ב Rust) אוספת: סיסמת כניסה, פרטי מחזיק מפתחות, נתוני דפדפן, ארנקי קריפטו, תוכן לוח ומבקשת גישה מלאה לדיסק (FDA) באיחור של עד 40 דקות
כשהקורבן מגיע לאתר המזויף, הוא מוריד תמונת דיסק (.dmg) שמכילה קובץ AppleScript מהודר בשם Maccy.scpt. Maccy האמיתי מעולם לא הופץ כ-DMG; הוא זמין רק כקובץ Maccy.app.zip.
לחיצה כפולה על הקובץ פותחת אותו ב-Script Editor (עורך הסקריפטים של macOS). החלק הגלוי של הקובץ מציג הוראות מותגיות מזויפות שאומרות למשתמש ללחוץ על ⌘+R כדי "להתחיל", בעוד שהקוד הזדוני האמיתי מוסתר הרחק מתחת לשורה ארוכה של שורות ריקות . כדי להתחמק מסורקי טקסט, המילה "Maccy" כתובה באותיות יווניות וקיריליות דומות (הומוגליפים) .
איזה נתונים PamStealer גונבת?
בשלב השני, תוכנת הריגול (הכתובה ב-Rust) אוספת מגוון רחב של מידע רגיש :
סיסמת כניסה — נתפסת דרך חלון NSAlert שקורא "Maccy wants to make changes. Enter your password to allow this", ואז מאומתת מקומית מול PAM (pam_start, pam_authenticate, pam_end) ללא כל פעילות גלויה בטרמינל .
מחזיק מפתחות (Keychain) — טוענת את Security.framework בזמן ריצה כדי לשלוף סיסמאות ממחזיק המפתחות .
פרטי כניסה בדפדפן, עוגיות ונתוני ארנק קריפטו — פותחת מסדי נתונים של דפדפן באמצעות קריאות SQLite מובנות .
תוכן הלוח — מריצה שוב ושוב את כלי המערכת pbpaste כדי לעקוב ולגנוב כל מה שהמשתמש מעתיק .
גישה מלאה לדיסק (Full Disk Access) — אם המשתמש מעניק גישה מאוחר יותר (הבקשה מופיעה באיחור של עד 40 דקות), גם קבצים מוגנים הופכים לנגישים .
ארנקי מטבעות קריפטו — תצורת השרת כוללת נקודות קצה של Ethereum JSON-RPC, והתוכנה נצפתה מתחברת ל-ethereum-rpc.publicnode[.]com.
כל הנתונים הגנובים מוצפנים באמצעות ChaCha20-Poly1305 ונשלחים ב-HTTPS לשרתי הפיקוד והבקרה (C2) בכתובות avenger-sync[.]live ו-avengerflow[.]com, עטופים במעטפת JSON: MacOSapp1{"data":"..."}.
סימני זיהוי הדבקה (IOCs)
חתימת קוד ב-Script Editor
לפני הפעלת הנוזקה, ה-dropper חותם את חבילת האפליקציה המזויפת בחתימה אד-הוק (codesign -fs - --deep, לא חתימה חוקית של Developer ID), ואז מפעיל אותה מוסתרת ללא חלון או נוכחות ב-Dock . הנוזקה גם בודקת קיום כלי ניפוי באגים ו-System Integrity Protection לפני ההפעלה .
תהליך "Finder" מזויף שמשתמש ב-pbpaste
הנוזקה בשלב השני מוצבת בתוך חבילה בשם Finder.app עם מזהה החבילה com.apple.finder.monitor והסמל האמיתי של Finder שהועתק מ-/System/Library/CoreServices/. לאחר מכן היא מריצה את pbpaste כדי לגנוב תוכן לוח. ב-Activity Monitor ייתכן שתראו תהליך Finder שני שמבצע קריאות ללוח — חריגה ברורה .
פריטי כניסה חדשים עם סמלי מערכת מועתקים
הנוזקה קובעת התמדה (Persistence) דרך Login Items (ולא LaunchAgents/LaunchDaemons), תוך שימוש גם ב-API המודרני SMAppService וגם ב-API הישן LSSharedFileList. החבילות הזדוניות נקראות: com.apple.finder.monitor ו-com.apple.security.daemon (מתחזה לעדכון תוכנה) . כיוון שחלון Login Items בהגדרות המערכת לא מציג נתיבים מלאים, הנוזקה נראית כרכיב מערכת לגיטימי .
סימנים נוספים
קובץ סימון בשם .Maccy נשמר לצד החבילה המוכנה .
ה-dropper מריץ קוד JavaScript for Automation (JXA) דרך ממשקי ObjC מקוריים (NSURLSession), מה שמייצר פחות ערכים בתהליכים מאשר שימוש ב-curl/osascript רגילים .
חסימה גיאוגרפית: ההפעלה נעצרת אם אזור הזמן, הלוקאל, פריסת המקלדת או קוד המדינה תואמים לרוסיה, בלארוס, קזחסטן או 8 מדינות נוספות מחבר המדינות .
איך משתמשים יכולים להישאר מוגנים
הורידו את Maccy רק מהאתר החוקי maccy.app, או דרך Homebrew / המאגר הרשמי ב-GitHub. הפרויקט האמיתי הוא קוד פתוח תחת רישיון MIT ומפותח על ידי Alexey Rodionov (מזהה צוות MN3X4648SC)
לעולם אל תפתחו קובצי .scpt ב-Script Editor מתמונת דיסק שהורדתם ואל תלחצו על Run. שום אפליקציה לגיטימית לא מבקשת מכם לעשות זאת
בחנו בחשדנות בקשות סיסמה בלתי צפויות. החלון של PamStealer מראה "Maccy wants to make changes" — אבל אפליקציה אמיתית לא תצטרך את הסיסמה שלכם כדי להתקין מנהל לוח מהמקור הרשמי
חשדו בבקשות גישה מלאה לדיסק שמגיעות באיחור. אם אפליקציה מבקשת FDA 30–40 דקות לאחר ההתקנה ללא סיבה ברורה, כנראה שמדובר בנוזקה שממתינה כדי להתחמק מזיהוי
בדקו את פריטי הכניסה (Login Items) בהגדרות מערכת → כללי → פריטי כניסה עבור ערכים חשודים בשמות של רכיבי מערכת (למשל, com.apple.finder.monitor) שלא הוספתם בכוונה
עקבו אחר תהליכי Finder מרובים ב-Activity Monitor, במיוחד כזה שאין לו חלון גלוי
כשהקורבן מגיע לאתר המזויף, הוא מוריד תמונת דיסק (.dmg) שמכילה קובץ AppleScript מהודר בשם Maccy.scpt. Maccy האמיתי מעולם לא הופץ כ-DMG; הוא זמין רק כקובץ Maccy.app.zip.
לחיצה כפולה על הקובץ פותחת אותו ב-Script Editor (עורך הסקריפטים של macOS). החלק הגלוי של הקובץ מציג הוראות מותגיות מזויפות שאומרות למשתמש ללחוץ על ⌘+R כדי "להתחיל", בעוד שהקוד הזדוני האמיתי מוסתר הרחק מתחת לשורה ארוכה של שורות ריקות . כדי להתחמק מסורקי טקסט, המילה "Maccy" כתובה באותיות יווניות וקיריליות דומות (הומוגליפים) .
איזה נתונים PamStealer גונבת?
בשלב השני, תוכנת הריגול (הכתובה ב-Rust) אוספת מגוון רחב של מידע רגיש :
סיסמת כניסה — נתפסת דרך חלון NSAlert שקורא "Maccy wants to make changes. Enter your password to allow this", ואז מאומתת מקומית מול PAM (pam_start, pam_authenticate, pam_end) ללא כל פעילות גלויה בטרמינל .
מחזיק מפתחות (Keychain) — טוענת את Security.framework בזמן ריצה כדי לשלוף סיסמאות ממחזיק המפתחות .
פרטי כניסה בדפדפן, עוגיות ונתוני ארנק קריפטו — פותחת מסדי נתונים של דפדפן באמצעות קריאות SQLite מובנות .
תוכן הלוח — מריצה שוב ושוב את כלי המערכת pbpaste כדי לעקוב ולגנוב כל מה שהמשתמש מעתיק .
גישה מלאה לדיסק (Full Disk Access) — אם המשתמש מעניק גישה מאוחר יותר (הבקשה מופיעה באיחור של עד 40 דקות), גם קבצים מוגנים הופכים לנגישים .
ארנקי מטבעות קריפטו — תצורת השרת כוללת נקודות קצה של Ethereum JSON-RPC, והתוכנה נצפתה מתחברת ל-ethereum-rpc.publicnode[.]com.
כל הנתונים הגנובים מוצפנים באמצעות ChaCha20-Poly1305 ונשלחים ב-HTTPS לשרתי הפיקוד והבקרה (C2) בכתובות avenger-sync[.]live ו-avengerflow[.]com, עטופים במעטפת JSON: MacOSapp1{"data":"..."}.
סימני זיהוי הדבקה (IOCs)
חתימת קוד ב-Script Editor
לפני הפעלת הנוזקה, ה-dropper חותם את חבילת האפליקציה המזויפת בחתימה אד-הוק (codesign -fs - --deep, לא חתימה חוקית של Developer ID), ואז מפעיל אותה מוסתרת ללא חלון או נוכחות ב-Dock . הנוזקה גם בודקת קיום כלי ניפוי באגים ו-System Integrity Protection לפני ההפעלה .
תהליך "Finder" מזויף שמשתמש ב-pbpaste
הנוזקה בשלב השני מוצבת בתוך חבילה בשם Finder.app עם מזהה החבילה com.apple.finder.monitor והסמל האמיתי של Finder שהועתק מ-/System/Library/CoreServices/. לאחר מכן היא מריצה את pbpaste כדי לגנוב תוכן לוח. ב-Activity Monitor ייתכן שתראו תהליך Finder שני שמבצע קריאות ללוח — חריגה ברורה .
פריטי כניסה חדשים עם סמלי מערכת מועתקים
הנוזקה קובעת התמדה (Persistence) דרך Login Items (ולא LaunchAgents/LaunchDaemons), תוך שימוש גם ב-API המודרני SMAppService וגם ב-API הישן LSSharedFileList. החבילות הזדוניות נקראות: com.apple.finder.monitor ו-com.apple.security.daemon (מתחזה לעדכון תוכנה) . כיוון שחלון Login Items בהגדרות המערכת לא מציג נתיבים מלאים, הנוזקה נראית כרכיב מערכת לגיטימי .
סימנים נוספים
קובץ סימון בשם .Maccy נשמר לצד החבילה המוכנה .
ה-dropper מריץ קוד JavaScript for Automation (JXA) דרך ממשקי ObjC מקוריים (NSURLSession), מה שמייצר פחות ערכים בתהליכים מאשר שימוש ב-curl/osascript רגילים .
חסימה גיאוגרפית: ההפעלה נעצרת אם אזור הזמן, הלוקאל, פריסת המקלדת או קוד המדינה תואמים לרוסיה, בלארוס, קזחסטן או 8 מדינות נוספות מחבר המדינות .
איך משתמשים יכולים להישאר מוגנים
הורידו את Maccy רק מהאתר החוקי maccy.app, או דרך Homebrew / המאגר הרשמי ב-GitHub. הפרויקט האמיתי הוא קוד פתוח תחת רישיון MIT ומפותח על ידי Alexey Rodionov (מזהה צוות MN3X4648SC)
לעולם אל תפתחו קובצי .scpt ב-Script Editor מתמונת דיסק שהורדתם ואל תלחצו על Run. שום אפליקציה לגיטימית לא מבקשת מכם לעשות זאת
בחנו בחשדנות בקשות סיסמה בלתי צפויות. החלון של PamStealer מראה "Maccy wants to make changes" — אבל אפליקציה אמיתית לא תצטרך את הסיסמה שלכם כדי להתקין מנהל לוח מהמקור הרשמי
חשדו בבקשות גישה מלאה לדיסק שמגיעות באיחור. אם אפליקציה מבקשת FDA 30–40 דקות לאחר ההתקנה ללא סיבה ברורה, כנראה שמדובר בנוזקה שממתינה כדי להתחמק מזיהוי
בדקו את פריטי הכניסה (Login Items) בהגדרות מערכת → כללי → פריטי כניסה עבור ערכים חשודים בשמות של רכיבי מערכת (למשל, com.apple.finder.monitor) שלא הוספתם בכוונה
עקבו אחר תהליכי Finder מרובים ב-Activity Monitor, במיוחד כזה שאין לו חלון גלוי
jamf.comPamStealer: macOS Malware Posing as Clipboard Manager App
playtech.roPamStealer, noul malware care vânează parolele utilizatorilor de Mac: cum se ascunde într-o aplicație aparent inofensivă
maccyapp.comDownload Maccy 2.7.3 — Free Clipboard Manager for macOS
github.comGitHub - p0deje/Maccy: Lightweight clipboard manager for macOS