PamStealer: il malware per Mac che ruba le password sfruttando il sistema di autenticazione di Apple

Facendo doppio clic, macOS apre i file .scpt in Script Editor per progettazione. La parte visibile del file mostra istruzioni con marchio che dicono all'utente di premere ⌘+R per "iniziare", mentre il codice dannoso effettivo è nascosto molto più in basso dopo un grande blocco di righe vuote . Il testo utilizza anche omoglifi greci e cirillici nella parola "Maccy" per eludere gli scanner basati su testo .

Quali dati ruba PamStealer?

L'infostealer di secondo stadio basato su Rust raccoglie un'ampia gamma di dati sensibili :

• Password di accesso — catturata tramite un dialogo NSAlert nativo che dice "Maccy vuole apportare modifiche. Inserisci la tua password per consentirlo", quindi convalidata localmente tramite PAM (pam_start, pam_authenticate, pam_end) senza alcuna attività visibile della shell .
• Voci del portachiavi — carica Security.framework in fase di esecuzione (non nella tabella di importazione statica) per estrarre password dal portachiavi di macOS .
• Credenziali del browser, cookie e dati delle estensioni del portafoglio — apre i database delle credenziali direttamente utilizzando chiamate di lettura SQLite in bundle .
• Contenuti degli appunti — esegue ripetutamente l'utilità pbpaste integrata per monitorare ed esfiltrare tutto ciò che l'utente copia .
• Target di accesso completo al disco — se l'utente successivamente concede l'FDA (richiesto dopo un ritardo fino a 40 minuti), anche i file protetti diventano accessibili .
• Ricognizione del portafoglio di criptovalute — la configurazione C2 include endpoint JSON-RPC di Ethereum e il malware è stato osservato connettersi a ethereum-rpc.publicnode[.]com nella pratica .

Tutti i dati rubati vengono crittografati con ChaCha20-Poly1305 ed esfiltrati su HTTPS verso endpoint C2 (domini osservati: avenger-sync[.]live e avengerflow[.]com), avvolti in un involucro JSON MacOSapp1{"data":"..."} .

Indicatori di infezione (IOC)

Trigger di firma del codice di Script Editor

Prima di lanciare il payload, il dropper firma ad-hoc il bundle dell'applicazione falsa con

codesign -fs - --deep

Falso processo "Finder" che utilizza pbpaste

Il payload di secondo stadio è inserito all'interno di un bundle chiamato Finder.app con l'identificatore del bundle com.apple.finder.monitor e l'icona genuina Finder.icns copiata da /System/Library/CoreServices/ . Quindi avvia pbpaste per rubare i dati degli appunti, quindi Activity Monitor potrebbe mostrare un secondo processo Finder che esegue letture degli appunti — una forte anomalia .

Nuove voci di accesso con icone di sistema copiate

La persistenza viene stabilita tramite Login Items (non LaunchAgents/LaunchDaemons) utilizzando sia l'API moderna SMAppService che l'API legacy LSSharedFileList, con il malware in bundle all'interno: com.apple.finder.monitor e com.apple.security.daemon (mascherato come Software Update) . Poiché il riquadro Login Items in Impostazioni di Sistema non mostra i percorsi completi, il malware appare come voci di sistema legittime .

Altri indicatori

• Un file marker denominato .Maccy viene rilasciato insieme al bundle preparato .
• Il dropper esegue un payload JavaScript for Automation (JXA) tramite API ObjC native (NSURLSession), producendo meno artefatti di creazione di processi rispetto ai tipici downloader basati su curl/osascript .
• Geo-fencing: l'esecuzione viene interrotta se il fuso orario, la lingua, il layout della tastiera o il codice del paese corrispondono a Russia, Bielorussia, Kazakistan o altri 8 paesi della CSI .

Come gli utenti possono proteggersi

• Scarica Maccy solo dal dominio legittimo maccy.app, o tramite Homebrew / il repository GitHub ufficiale. Il vero progetto è open-source (licenza MIT) ed è gestito dallo sviluppatore Alexey Rodionov (Team Identifier MN3X4648SC) .
• Non aprire mai file .scpt in Script Editor da un'immagine disco scaricata e premere Esegui. Nessuna app macOS legittima ti chiede di farlo .
• Esamina le richieste di password amministratore inaspettate. Il dialogo di PamStealer dice "Maccy vuole apportare modifiche" — ma una vera app non avrebbe bisogno della tua password per installare un gestore di appunti dalla sua fonte ufficiale .
• Sii sospettoso delle richieste di accesso completo al disco ritardate. Se un'app chiede FDA 30-40 minuti dopo l'installazione senza una ragione ovvia, è probabile che sia un malware in attesa di eludere l'attribuzione .
• Controlla gli elementi di accesso in Impostazioni di Sistema → Generali → Elementi di accesso per voci sospette denominate come componenti di sistema (es. com.apple.finder.monitor) che non hai aggiunto intenzionalmente .
• Monitora più processi Finder in Activity Monitor, specialmente uno che non ha una finestra visibile .