PamStealer（パムスティーラー）— AppleのPAMを悪用しパスワードを検証するmacOS版情報窃取マルウェアの全容

偽サイトにアクセスすると、ユーザーはMaccy.scptという名前のコンパイル済みAppleScriptファイルが入ったディスクイメージ（.dmg）をダウンロードします^JP。正規のMaccyがDMGで配布されたことは一度もなく、常にMaccy.app.zipのみです^P。重要なのは、macOSで.scptファイルをダブルクリックすると、デフォルトでScript Editor（スクリプトエディタ） が起動する点です。

表示されるScript Editorの画面には、ユーザーに「⌘+R を押して始めてください」と促す、一見ブランド化された指示文だけが見えています。実際の悪意のあるコードは、画面外の大量の空行の後ろに隠されています^JP。さらに、「Maccy」という単語にギリシャ文字やキリル文字のホモグリフ（字形が似ている別の文字） が使われており、テキストベースのスキャナーによる検出を回避しています^JF。

PamStealerは何を盗むのか？

第2段階としてダウンロード・実行されるRust製のMach-Oバイナリは、以下の広範なデータを収集します^J。

• ログインパスワード — 「Maccyが変更を加えようとしています。許可するにはパスワードを入力してください」というネイティブなNSAlertダイアログで入力させます。pam_start、pam_authenticate、pam_endの一連のPAM関数でローカル検証され、可視性の高い端末アクティビティは発生しません^J。
• キーチェーン全エントリ — Security.frameworkを静的なインポートテーブルではなくランタイムで動的に読み込み、キーチェーン内の全パスワードを抜き出します^J。
• ブラウザのクレデンシャル、Cookie、ウォレット拡張データ — バンドルされた独自のSQLite読み出し呼び出しを使って、ブラウザのデータベースに直接アクセスします^J。
• クリップボード内容 — ビルトインのpbpasteユーティリティを繰り返し実行し、ユーザーがコピーした内容を監視・窃取します^JF。
• Full Disk Access対象ファイル — インストールから最大40分の遅延を置いてFDAを要求。許可されれば保護ファイルにもアクセス可能になります^F。
• 暗号資産ウォレットの偵察 — C2設定にはEthereum JSON-RPCエンドポイントが含まれ、実際にethereum-rpc.publicnode[.]comへの接続が確認されています^J。

盗まれたデータはすべてChaCha20-Poly1305で暗号化され、MacOSapp1{"data":"..."}というJSONエンベロープに包まれて、C2サーバー（確認済みドメイン：avenger-sync[.]live、avengerflow[.]com）にHTTPSで送信されます^JP。

感染を示す指標（IoC）

Script Editorでのコード署名トリガー

ペイロード実行前に、ドロッパーは偽のアプリケーションバンドルをcodesign -fs - --deep（正規のDeveloper ID署名ではないアドホック署名）で署名し、ウィンドウもDockアイコンも表示させずに起動します^J。実行前にデバッグツールやSystem Integrity Protection（SIP）の有無もチェックします^F。

「Finder」を装ったプロセスによるpbpaste常時監視

第2段階のペイロードはFinder.appというバンドル名、bundle identifier com.apple.finder.monitor、そして/System/Library/CoreServices/からコピーした本物のFinder.icnsアイコンを使って配置されます^JP。この偽Finderはpbpasteを頻繁に起動してクリップボードを読み取るため、アクティビティモニタでFinderプロセスが2つ表示されるという強い異常が発生します^J。

システムアイコンをコピーしたログイン項目

持続化（Persistence）はLaunchAgentsやLaunchDaemonsではなくログイン項目（Login Items） を使って行われます。最新のSMAppService APIと従来のLSSharedFileList APIの両方が使われ、バンドルIDはcom.apple.finder.monitorとcom.apple.security.daemon（ソフトウェアアップデートを装う）です^JPF。システム設定のログイン項目ペインはフルパスを表示しないため、これらのエントリは正規のシステムコンポーネントに見えます^PT。

その他の指標

• ステージングされたバンドルと一緒に**.Maccy**というマーカーファイルがドロップされます^J。
• ドロッパーは、ネイティブのObjC API（NSURLSession）を使ってJavaScript for Automation（JXA） ペイロードを実行。一般的なcurlやosascriptを使ったダウンローダーよりプロセス生成の痕跡が少ない^J。
• ジオフェンシング：タイムゾーン、ロケール、キーボードレイアウト、国コードがロシア、ベラルーシ、カザフスタンおよび他のCIS8カ国に該当する場合、実行を中断します^JP。

ユーザーが取るべき対策

• Maccyは必ず正規ドメインmaccy.app、Homebrew、または公式GitHubリポジトリからのみダウンロードしてください。正規プロジェクトはMITライセンスのオープンソースで、開発者Alexey Rodionov（Team Identifier MN3X4648SC）が運営しています^JP。
• ダウンロードしたDMG内の.scptファイルをScript Editorで開いて「実行」ボタンを押さないでください。正規のmacOSアプリがこのような操作を要求することは絶対にありません^JF。
• 予期しない管理者パスワードの入力を求められたら警戒しましょう。 PamStealerのダイアログは「Maccyが変更を加えようとしています」と表示しますが、正規のクリップボード管理アプリのインストールにパスワードが必要なはずがありません^J。
• インストールから30〜40分後に突然Full Disk Accessを要求するアプリはマルウェアの可能性が高いです。これは検出を逃れるための遅延要求です^F。
• システム設定 → 一般 → ログイン項目で、「com.apple.finder.monitor」などシステムコンポーネントを装う不審なエントリを確認しましょう。自分で追加した覚えのない項目は削除が推奨されます^PJ。
• アクティビティモニタでFinderプロセスが2つ以上動いていないか確認してください。特に、可視ウィンドウを持たないFinderプロセスは強い感染シグナルです^J。