PamStealer: il malware per Mac che ruba le password sfruttando il sistema di autenticazione di Apple

Quando una vittima visita il falso sito, riceve un'immagine disco (.dmg) contenente un file AppleScript compilato chiamato Maccy.scpt ^JP. Il legittimo Maccy non ha mai distribuito un DMG; viene fornito solo come Maccy.app.zip ^P.

Facendo doppio clic, macOS apre i file .scpt in Script Editor per progettazione. La parte visibile del file mostra istruzioni con marchio che dicono all'utente di premere ⌘+R per "iniziare", mentre il codice dannoso effettivo è nascosto molto più in basso dopo un grande blocco di righe vuote ^JP. Il testo utilizza anche omoglifi greci e cirillici nella parola "Maccy" per eludere gli scanner basati su testo ^JF.

Quali dati ruba PamStealer?

L'infostealer di secondo stadio basato su Rust raccoglie un'ampia gamma di dati sensibili ^J:

• Password di accesso — catturata tramite un dialogo NSAlert nativo che dice "Maccy vuole apportare modifiche. Inserisci la tua password per consentirlo", quindi convalidata localmente tramite PAM (pam_start, pam_authenticate, pam_end) senza alcuna attività visibile della shell ^J.
• Voci del portachiavi — carica Security.framework in fase di esecuzione (non nella tabella di importazione statica) per estrarre password dal portachiavi di macOS ^J.
• Credenziali del browser, cookie e dati delle estensioni del portafoglio — apre i database delle credenziali direttamente utilizzando chiamate di lettura SQLite in bundle ^J.
• Contenuti degli appunti — esegue ripetutamente l'utilità pbpaste integrata per monitorare ed esfiltrare tutto ciò che l'utente copia ^JF.
• Target di accesso completo al disco — se l'utente successivamente concede l'FDA (richiesto dopo un ritardo fino a 40 minuti), anche i file protetti diventano accessibili ^F.
• Ricognizione del portafoglio di criptovalute — la configurazione C2 include endpoint JSON-RPC di Ethereum e il malware è stato osservato connettersi a ethereum-rpc.publicnode[.]com nella pratica ^J.

Tutti i dati rubati vengono crittografati con ChaCha20-Poly1305 ed esfiltrati su HTTPS verso endpoint C2 (domini osservati: avenger-sync[.]live e avengerflow[.]com), avvolti in un involucro JSON MacOSapp1{"data":"..."} ^JP.

Indicatori di infezione (IOC)

Trigger di firma del codice di Script Editor

Prima di lanciare il payload, il dropper firma ad-hoc il bundle dell'applicazione falsa con codesign -fs - --deep (non una firma Developer ID legittima), quindi lo avvia nascosto senza finestra o presenza nel Dock ^J. Il malware controlla anche la presenza di strumenti di debug e System Integrity Protection prima di procedere ^F.

Falso processo "Finder" che utilizza pbpaste

Il payload di secondo stadio è inserito all'interno di un bundle chiamato Finder.app con l'identificatore del bundle com.apple.finder.monitor e l'icona genuina Finder.icns copiata da /System/Library/CoreServices/ ^JP. Quindi avvia pbpaste per rubare i dati degli appunti, quindi Activity Monitor potrebbe mostrare un secondo processo Finder che esegue letture degli appunti — una forte anomalia ^J.

Nuove voci di accesso con icone di sistema copiate

La persistenza viene stabilita tramite Login Items (non LaunchAgents/LaunchDaemons) utilizzando sia l'API moderna SMAppService che l'API legacy LSSharedFileList, con il malware in bundle all'interno: com.apple.finder.monitor e com.apple.security.daemon (mascherato come Software Update) ^JPF. Poiché il riquadro Login Items in Impostazioni di Sistema non mostra i percorsi completi, il malware appare come voci di sistema legittime ^PT.

Altri indicatori

• Un file marker denominato .Maccy viene rilasciato insieme al bundle preparato ^J.
• Il dropper esegue un payload JavaScript for Automation (JXA) tramite API ObjC native (NSURLSession), producendo meno artefatti di creazione di processi rispetto ai tipici downloader basati su curl/osascript ^J.
• Geo-fencing: l'esecuzione viene interrotta se il fuso orario, la lingua, il layout della tastiera o il codice del paese corrispondono a Russia, Bielorussia, Kazakistan o altri 8 paesi della CSI ^JP.

Come gli utenti possono proteggersi

• Scarica Maccy solo dal dominio legittimo maccy.app, o tramite Homebrew / il repository GitHub ufficiale. Il vero progetto è open-source (licenza MIT) ed è gestito dallo sviluppatore Alexey Rodionov (Team Identifier MN3X4648SC) ^JP.
• Non aprire mai file .scpt in Script Editor da un'immagine disco scaricata e premere Esegui. Nessuna app macOS legittima ti chiede di farlo ^JF.
• Esamina le richieste di password amministratore inaspettate. Il dialogo di PamStealer dice "Maccy vuole apportare modifiche" — ma una vera app non avrebbe bisogno della tua password per installare un gestore di appunti dalla sua fonte ufficiale ^J.
• Sii sospettoso delle richieste di accesso completo al disco ritardate. Se un'app chiede FDA 30-40 minuti dopo l'installazione senza una ragione ovvia, è probabile che sia un malware in attesa di eludere l'attribuzione ^F.
• Controlla gli elementi di accesso in Impostazioni di Sistema → Generali → Elementi di accesso per voci sospette denominate come componenti di sistema (es. com.apple.finder.monitor) che non hai aggiunto intenzionalmente ^PJ.
• Monitora più processi Finder in Activity Monitor, specialmente uno che non ha una finestra visibile ^J.