जब कोई पीड़ित नकली साइट पर जाता है, तो उसे एक डिस्क इमेज (.dmg) दी जाती है जिसमें Maccy.scpt नाम की एक कंपाइल्ड AppleScript फ़ाइल होती है ¹⁸। असली Maccy ने कभी भी DMG वितरित नहीं किया है; यह केवल Maccy.app.zip के रूप में आता है ।

डबल-क्लिक करने पर, macOS .scpt फ़ाइलों को डिफ़ॉल्ट रूप से Script Editor में खोलता है। फ़ाइल का दिखाई देने वाला हिस्सा ब्रांडेड निर्देश दिखाता है जो उपयोगकर्ता को "शुरू करने" के लिए ⌘+R दबाने को कहता है, जबकि वास्तविक दुर्भावनापूर्ण कोड खाली लाइनों के एक बड़े ब्लॉक के बाद कहीं नीचे छिपा होता है ¹⁸। टेक्स्ट में "Maccy" शब्द में ग्रीक और सिरिलिक होमोग्लिफ्स का भी उपयोग किया जाता है ताकि टेक्स्ट-आधारित स्कैनर को धोखा दिया जा सके ²।

PamStealer क्या डेटा चुराता है?

दूसरे चरण का रस्ट-आधारित Mach-O इन्फोस्टीलर संवेदनशील डेटा की एक विस्तृत श्रृंखला एकत्र करता है :

• लॉगिन पासवर्ड — एक नेटिव NSAlert डायलॉग के ज़रिए कैप्चर किया जाता है जो कहता है "Maccy wants to make changes. Enter your password to allow this," फिर इसे PAM (pam_start, pam_authenticate, pam_end) के माध्यम से स्थानीय रूप से वेरिफाई किया जाता है, जिसमें कोई दृश्य शेल गतिविधि नहीं होती ।
• कीचेन एंट्रीज़ — Security.framework को रनटाइम पर लोड करता है (स्टैटिक इम्पोर्ट टेबल में नहीं) ताकि macOS कीचेन से पासवर्ड निकाल सके ।
• ब्राउज़र क्रेडेंशियल्स, कुकीज़ और वॉलेट एक्सटेंशन डेटा — बंडल SQLite रीड कॉल का उपयोग करके सीधे क्रेडेंशियल डेटाबेस खोलता है ।
• क्लिपबोर्ड सामग्री — उपयोगकर्ता द्वारा कॉपी की गई किसी भी चीज़ की निगरानी और एक्सफ़िल्ट्रेशन के लिए बिल्ट-इन pbpaste यूटिलिटी को बार-बार चलाता है ²।
• Full Disk Access लक्ष्य — यदि उपयोगकर्ता बाद में FDA प्रदान करता है (40 मिनट तक की देरी के बाद संकेत दिया जाता है), तो संरक्षित फ़ाइलें भी सुलभ हो जाती हैं ।
• क्रिप्टोकरेंसी वॉलेट रिकॉनिसेंस — C2 कॉन्फ़िगरेशन में Ethereum JSON-RPC एंडपॉइंट शामिल हैं, और मैलवेयर को व्यवहार में ethereum-rpc.publicnode[.]com से कनेक्ट होते हुए देखा गया है ।

सभी चुराए गए डेटा को ChaCha20-Poly1305 के साथ एन्क्रिप्ट किया जाता है और C2 एंडपॉइंट्स (देखे गए डोमेन: avenger-sync[.]live और avengerflow[.]com) को HTTPS पर एक्सफ़िल्ट्रेट किया जाता है, जो MacOSapp1{"data":"..."} JSON लिफाफे में लपेटा जाता है ¹।

संक्रमण संकेतक (IOCs)

Script Editor कोड-साइनिंग ट्रिगर

पेलोड लॉन्च करने से पहले, ड्रॉपर codesign -fs - --deep (एक वैध डेवलपर आईडी हस्ताक्षर नहीं) के साथ नकली एप्लिकेशन बंडल को एड-हॉक साइन करता है, फिर इसे बिना किसी विंडो या डॉक उपस्थिति के छिपाकर लॉन्च करता है । मैलवेयर आगे बढ़ने से पहले डिबगिंग टूल्स और सिस्टम इंटीग्रिटी प्रोटेक्शन की भी जाँच करता है ।

pbpaste का उपयोग करने वाली नकली "Finder" प्रक्रिया

दूसरे चरण की पेलोड को Finder.app नामक बंडल के अंदर रखा जाता है, जिसका बंडल आइडेंटिफ़ायर com.apple.finder.monitor और /System/Library/CoreServices/ ¹ से कॉपी किया गया वास्तविक Finder.icns आइकन होता है। फिर यह क्लिपबोर्ड डेटा चुराने के लिए pbpaste को चालू करता है, इसलिए एक्टिविटी मॉनिटर एक दूसरी Finder प्रक्रिया दिखा सकता है जो क्लिपबोर्ड रीड कर रही है — एक मजबूत विसंगति ।

कॉपी किए गए सिस्टम आइकन के साथ नए लॉगिन आइटम

पर्सिस्टेंस Login Items (LaunchAgents/LaunchDaemons नहीं) के माध्यम से स्थापित किया जाता है, जो आधुनिक SMAppService API और विरासत LSSharedFileList API दोनों का उपयोग करता है, जिसमें मैलवेयर बंडल होता है: com.apple.finder.monitor और com.apple.security.daemon (सॉफ़्टवेयर अपडेट के रूप में प्रच्छन्न) ¹²। चूंकि सिस्टम सेटिंग्स में Login Items फलक पूर्ण पथ नहीं दिखाता है, मैलवेयर वैध सिस्टम एंट्री के रूप में दिखाई देता है ²⁰।

अन्य संकेतक

• .Maccy नामक एक मार्कर फ़ाइल स्टेज किए गए बंडल के साथ ड्रॉप की जाती है ।
• ड्रॉपर देशी ObjC APIs (NSURLSession) के माध्यम से एक JavaScript for Automation (JXA) पेलोड निष्पादित करता है, जो सामान्य curl/osascript-आधारित डाउनलोडर की तुलना में कम प्रोसेस-क्रिएशन आर्टिफैक्ट उत्पन्न करता है ।
• जियो-फेंसिंग: यदि टाइमज़ोन, लोकेल, कीबोर्ड लेआउट, या देश कोड रूस, बेलारूस, कज़ाखस्तान, या 8 अन्य CIS देशों से मेल खाता है, तो निष्पादन रद्द कर दिया जाता है ¹।

उपयोगकर्ता कैसे सुरक्षित रह सकते हैं

• Maccy को केवल आधिकारिक डोमेन maccy.app से, या Homebrew / आधिकारिक GitHub रिपॉजिटरी के माध्यम से डाउनलोड करें। असली प्रोजेक्ट ओपन-सोर्स (MIT लाइसेंस) है और डेवलपर एलेक्सी रोडियोनोव (टीम आइडेंटिफ़ायर MN3X4648SC) द्वारा चलाया जाता है ¹।
• कभी भी डाउनलोड की गई डिस्क इमेज से .scpt फ़ाइलों को Script Editor में न खोलें और Run न दबाएं। कोई भी वैध macOS ऐप आपसे ऐसा करने के लिए नहीं कहता ²।
• अनपेक्षित एडमिन पासवर्ड प्रॉम्प्ट की जाँच करें। PamStealer का डायलॉग "Maccy wants to make changes" पढ़ता है — लेकिन एक असली ऐप को अपने आधिकारिक स्रोत से क्लिपबोर्ड मैनेजर स्थापित करने के लिए आपके पासवर्ड की आवश्यकता नहीं होगी ।
• Full Disk Access के लिए विलंबित अनुरोधों पर संदेह करें। यदि कोई ऐप स्थापना के 30-40 मिनट बाद बिना किसी स्पष्ट कारण के FDA मांगता है, तो यह संभवतः मैलवेयर है जो एट्रिब्यूशन से बचने के लिए प्रतीक्षा कर रहा है ।
• सिस्टम सेटिंग्स → General → Login Items में सिस्टम घटकों के नाम पर संदिग्ध प्रविष्टियों (जैसे, com.apple.finder.monitor) की जाँच करें जिन्हें आपने जानबूझकर नहीं जोड़ा है ¹⁹।
• एक्टिविटी मॉनिटर में कई Finder प्रक्रियाओं पर नज़र रखें, विशेष रूप से वह जिसमें दृश्यमान विंडो नहीं है ।

जब कोई पीड़ित नकली साइट पर जाता है, तो उसे एक डिस्क इमेज (.dmg) दी जाती है जिसमें Maccy.scpt नाम की एक कंपाइल्ड AppleScript फ़ाइल होती है ¹⁸। असली Maccy ने कभी भी DMG वितरित नहीं किया है; यह केवल Maccy.app.zip के रूप में आता है ।

डबल-क्लिक करने पर, macOS .scpt फ़ाइलों को डिफ़ॉल्ट रूप से Script Editor में खोलता है। फ़ाइल का दिखाई देने वाला हिस्सा ब्रांडेड निर्देश दिखाता है जो उपयोगकर्ता को "शुरू करने" के लिए ⌘+R दबाने को कहता है, जबकि वास्तविक दुर्भावनापूर्ण कोड खाली लाइनों के एक बड़े ब्लॉक के बाद कहीं नीचे छिपा होता है ¹⁸। टेक्स्ट में "Maccy" शब्द में ग्रीक और सिरिलिक होमोग्लिफ्स का भी उपयोग किया जाता है ताकि टेक्स्ट-आधारित स्कैनर को धोखा दिया जा सके ²।

PamStealer क्या डेटा चुराता है?

दूसरे चरण का रस्ट-आधारित Mach-O इन्फोस्टीलर संवेदनशील डेटा की एक विस्तृत श्रृंखला एकत्र करता है :

• लॉगिन पासवर्ड — एक नेटिव NSAlert डायलॉग के ज़रिए कैप्चर किया जाता है जो कहता है "Maccy wants to make changes. Enter your password to allow this," फिर इसे PAM (pam_start, pam_authenticate, pam_end) के माध्यम से स्थानीय रूप से वेरिफाई किया जाता है, जिसमें कोई दृश्य शेल गतिविधि नहीं होती ।
• कीचेन एंट्रीज़ — Security.framework को रनटाइम पर लोड करता है (स्टैटिक इम्पोर्ट टेबल में नहीं) ताकि macOS कीचेन से पासवर्ड निकाल सके ।
• ब्राउज़र क्रेडेंशियल्स, कुकीज़ और वॉलेट एक्सटेंशन डेटा — बंडल SQLite रीड कॉल का उपयोग करके सीधे क्रेडेंशियल डेटाबेस खोलता है ।
• क्लिपबोर्ड सामग्री — उपयोगकर्ता द्वारा कॉपी की गई किसी भी चीज़ की निगरानी और एक्सफ़िल्ट्रेशन के लिए बिल्ट-इन pbpaste यूटिलिटी को बार-बार चलाता है ²।
• Full Disk Access लक्ष्य — यदि उपयोगकर्ता बाद में FDA प्रदान करता है (40 मिनट तक की देरी के बाद संकेत दिया जाता है), तो संरक्षित फ़ाइलें भी सुलभ हो जाती हैं ।
• क्रिप्टोकरेंसी वॉलेट रिकॉनिसेंस — C2 कॉन्फ़िगरेशन में Ethereum JSON-RPC एंडपॉइंट शामिल हैं, और मैलवेयर को व्यवहार में ethereum-rpc.publicnode[.]com से कनेक्ट होते हुए देखा गया है ।

सभी चुराए गए डेटा को ChaCha20-Poly1305 के साथ एन्क्रिप्ट किया जाता है और C2 एंडपॉइंट्स (देखे गए डोमेन: avenger-sync[.]live और avengerflow[.]com) को HTTPS पर एक्सफ़िल्ट्रेट किया जाता है, जो MacOSapp1{"data":"..."} JSON लिफाफे में लपेटा जाता है ¹।

संक्रमण संकेतक (IOCs)

Script Editor कोड-साइनिंग ट्रिगर

पेलोड लॉन्च करने से पहले, ड्रॉपर codesign -fs - --deep (एक वैध डेवलपर आईडी हस्ताक्षर नहीं) के साथ नकली एप्लिकेशन बंडल को एड-हॉक साइन करता है, फिर इसे बिना किसी विंडो या डॉक उपस्थिति के छिपाकर लॉन्च करता है । मैलवेयर आगे बढ़ने से पहले डिबगिंग टूल्स और सिस्टम इंटीग्रिटी प्रोटेक्शन की भी जाँच करता है ।

pbpaste का उपयोग करने वाली नकली "Finder" प्रक्रिया

दूसरे चरण की पेलोड को Finder.app नामक बंडल के अंदर रखा जाता है, जिसका बंडल आइडेंटिफ़ायर com.apple.finder.monitor और /System/Library/CoreServices/ ¹ से कॉपी किया गया वास्तविक Finder.icns आइकन होता है। फिर यह क्लिपबोर्ड डेटा चुराने के लिए pbpaste को चालू करता है, इसलिए एक्टिविटी मॉनिटर एक दूसरी Finder प्रक्रिया दिखा सकता है जो क्लिपबोर्ड रीड कर रही है — एक मजबूत विसंगति ।

कॉपी किए गए सिस्टम आइकन के साथ नए लॉगिन आइटम

पर्सिस्टेंस Login Items (LaunchAgents/LaunchDaemons नहीं) के माध्यम से स्थापित किया जाता है, जो आधुनिक SMAppService API और विरासत LSSharedFileList API दोनों का उपयोग करता है, जिसमें मैलवेयर बंडल होता है: com.apple.finder.monitor और com.apple.security.daemon (सॉफ़्टवेयर अपडेट के रूप में प्रच्छन्न) ¹²। चूंकि सिस्टम सेटिंग्स में Login Items फलक पूर्ण पथ नहीं दिखाता है, मैलवेयर वैध सिस्टम एंट्री के रूप में दिखाई देता है ²⁰।

अन्य संकेतक

• .Maccy नामक एक मार्कर फ़ाइल स्टेज किए गए बंडल के साथ ड्रॉप की जाती है ।
• ड्रॉपर देशी ObjC APIs (NSURLSession) के माध्यम से एक JavaScript for Automation (JXA) पेलोड निष्पादित करता है, जो सामान्य curl/osascript-आधारित डाउनलोडर की तुलना में कम प्रोसेस-क्रिएशन आर्टिफैक्ट उत्पन्न करता है ।
• जियो-फेंसिंग: यदि टाइमज़ोन, लोकेल, कीबोर्ड लेआउट, या देश कोड रूस, बेलारूस, कज़ाखस्तान, या 8 अन्य CIS देशों से मेल खाता है, तो निष्पादन रद्द कर दिया जाता है ¹।

उपयोगकर्ता कैसे सुरक्षित रह सकते हैं

• Maccy को केवल आधिकारिक डोमेन maccy.app से, या Homebrew / आधिकारिक GitHub रिपॉजिटरी के माध्यम से डाउनलोड करें। असली प्रोजेक्ट ओपन-सोर्स (MIT लाइसेंस) है और डेवलपर एलेक्सी रोडियोनोव (टीम आइडेंटिफ़ायर MN3X4648SC) द्वारा चलाया जाता है ¹।
• कभी भी डाउनलोड की गई डिस्क इमेज से .scpt फ़ाइलों को Script Editor में न खोलें और Run न दबाएं। कोई भी वैध macOS ऐप आपसे ऐसा करने के लिए नहीं कहता ²।
• अनपेक्षित एडमिन पासवर्ड प्रॉम्प्ट की जाँच करें। PamStealer का डायलॉग "Maccy wants to make changes" पढ़ता है — लेकिन एक असली ऐप को अपने आधिकारिक स्रोत से क्लिपबोर्ड मैनेजर स्थापित करने के लिए आपके पासवर्ड की आवश्यकता नहीं होगी ।
• Full Disk Access के लिए विलंबित अनुरोधों पर संदेह करें। यदि कोई ऐप स्थापना के 30-40 मिनट बाद बिना किसी स्पष्ट कारण के FDA मांगता है, तो यह संभवतः मैलवेयर है जो एट्रिब्यूशन से बचने के लिए प्रतीक्षा कर रहा है ।
• सिस्टम सेटिंग्स → General → Login Items में सिस्टम घटकों के नाम पर संदिग्ध प्रविष्टियों (जैसे, com.apple.finder.monitor) की जाँच करें जिन्हें आपने जानबूझकर नहीं जोड़ा है ¹⁹।
• एक्टिविटी मॉनिटर में कई Finder प्रक्रियाओं पर नज़र रखें, विशेष रूप से वह जिसमें दृश्यमान विंडो नहीं है ।