PamStealer（パムスティーラー）— AppleのPAMを悪用しパスワードを検証するmacOS版情報窃取マルウェアの全容

macOSユーザーを標的にした新たな情報窃取マルウェア「PamStealer（パムスティーラー）」 が確認されました。Jamf Threat Labsが2026年7月2日に初めて報告したこのマルウェアは、従来の情報窃取型とは一線を画す「パスワード検証機能」を持っています。偽のダイアログにユーザーが入力したパスワードを、AppleがOSに組み込むPluggable Authentication Modules（PAM） という認証フレームワークを使ってリアルタイムで検証。タイプミスやダミー入力を排除し、確実に動作する認証情報だけを攻撃者に送りつける、極めて巧妙な手口です。

タイポスクワッティングによる感染の仕組み

PamStealerの入口は、正規のクリップボード管理アプリ「Maccy」を装ったタイポスクワッティングサイト（maccyapp[.]com） です。正規のMaccyはmaccy.app、Homebrew、公式GitHubリポジトリからのみ配布されており、公式サイトでも偽コピーサイトに対する注意喚起が行われています。

偽サイトにアクセスすると、ユーザーはMaccy.scptという名前のコンパイル済みAppleScriptファイルが入ったディスクイメージ（.dmg）をダウンロードします。正規のMaccyがDMGで配布されたことは一度もなく、常にMaccy.app.zipのみです。重要なのは、macOSで.scptファイルをダブルクリックすると、デフォルトでScript Editor（スクリプトエディタ） が起動する点です。

表示されるScript Editorの画面には、ユーザーに「⌘+R を押して始めてください」と促す、一見ブランド化された指示文だけが見えています。実際の悪意のあるコードは、画面外の大量の空行の後ろに隠されています。さらに、「Maccy」という単語にギリシャ文字やキリル文字のホモグリフ（字形が似ている別の文字） が使われており、テキストベースのスキャナーによる検出を回避しています。

PamStealerは何を盗むのか？

第2段階としてダウンロード・実行されるRust製のMach-Oバイナリは、以下の広範なデータを収集します。

• ログインパスワード — 「Maccyが変更を加えようとしています。許可するにはパスワードを入力してください」というネイティブなNSAlertダイアログで入力させます。pam_start、pam_authenticate、pam_endの一連のPAM関数でローカル検証され、可視性の高い端末アクティビティは発生しません。
• キーチェーン全エントリ — Security.frameworkを静的なインポートテーブルではなくランタイムで動的に読み込み、キーチェーン内の全パスワードを抜き出します。
• ブラウザのクレデンシャル、Cookie、ウォレット拡張データ — バンドルされた独自のSQLite読み出し呼び出しを使って、ブラウザのデータベースに直接アクセスします。
• クリップボード内容 — ビルトインのpbpasteユーティリティを繰り返し実行し、ユーザーがコピーした内容を監視・窃取します。
• Full Disk Access対象ファイル — インストールから最大40分の遅延を置いてFDAを要求。許可されれば保護ファイルにもアクセス可能になります。
• 暗号資産ウォレットの偵察 — C2設定にはEthereum JSON-RPCエンドポイントが含まれ、実際にethereum-rpc.publicnode[.]comへの接続が確認されています。

盗まれたデータはすべてChaCha20-Poly1305で暗号化され、MacOSapp1{"data":"..."}というJSONエンベロープに包まれて、C2サーバー（確認済みドメイン：avenger-sync[.]live、avengerflow[.]com）にHTTPSで送信されます。

感染を示す指標（IoC）

Script Editorでのコード署名トリガー

ペイロード実行前に、ドロッパーは偽のアプリケーションバンドルを

codesign -fs - --deep

「Finder」を装ったプロセスによるpbpaste常時監視

第2段階のペイロードはFinder.appというバンドル名、bundle identifier com.apple.finder.monitor、そして/System/Library/CoreServices/からコピーした本物のFinder.icnsアイコンを使って配置されます。この偽Finderはpbpasteを頻繁に起動してクリップボードを読み取るため、アクティビティモニタでFinderプロセスが2つ表示されるという強い異常が発生します。

システムアイコンをコピーしたログイン項目

持続化（Persistence）はLaunchAgentsやLaunchDaemonsではなくログイン項目（Login Items） を使って行われます。最新のSMAppService APIと従来のLSSharedFileList APIの両方が使われ、バンドルIDはcom.apple.finder.monitorとcom.apple.security.daemon（ソフトウェアアップデートを装う）です。システム設定のログイン項目ペインはフルパスを表示しないため、これらのエントリは正規のシステムコンポーネントに見えます。

その他の指標

• ステージングされたバンドルと一緒に**.Maccy**というマーカーファイルがドロップされます。
• ドロッパーは、ネイティブのObjC API（NSURLSession）を使ってJavaScript for Automation（JXA） ペイロードを実行。一般的なcurlやosascriptを使ったダウンローダーよりプロセス生成の痕跡が少ない。
• ジオフェンシング：タイムゾーン、ロケール、キーボードレイアウト、国コードがロシア、ベラルーシ、カザフスタンおよび他のCIS8カ国に該当する場合、実行を中断します。

ユーザーが取るべき対策

• Maccyは必ず正規ドメインmaccy.app、Homebrew、または公式GitHubリポジトリからのみダウンロードしてください。正規プロジェクトはMITライセンスのオープンソースで、開発者Alexey Rodionov（Team Identifier MN3X4648SC）が運営しています。
• ダウンロードしたDMG内の.scptファイルをScript Editorで開いて「実行」ボタンを押さないでください。正規のmacOSアプリがこのような操作を要求することは絶対にありません。
• 予期しない管理者パスワードの入力を求められたら警戒しましょう。 PamStealerのダイアログは「Maccyが変更を加えようとしています」と表示しますが、正規のクリップボード管理アプリのインストールにパスワードが必要なはずがありません。
• インストールから30〜40分後に突然Full Disk Accessを要求するアプリはマルウェアの可能性が高いです。これは検出を逃れるための遅延要求です。
• システム設定 → 一般 → ログイン項目で、「com.apple.finder.monitor」などシステムコンポーネントを装う不審なエントリを確認しましょう。自分で追加した覚えのない項目は削除が推奨されます。
• アクティビティモニタでFinderプロセスが2つ以上動いていないか確認してください。特に、可視ウィンドウを持たないFinderプロセスは強い感染シグナルです。