PamStealer: Perisian Perosak macOS Curi Kata Laluan Guna Sistem PAM Apple

Apabila diklik dua kali, macOS membuka fail .scpt dalam Editor Skrip. Bahagian yang kelihatan pada fail menunjukkan arahan berjenama yang memberitahu pengguna untuk menekan ⌘+R untuk "memulakan," manakala kod hasad sebenar disorok jauh di bawah selepas blok baris kosong yang panjang . Teks ini juga menggunakan homoglif Yunani dan Cyril dalam perkataan "Maccy" untuk mengalahkan pengimbas berasaskan teks .

Apakah Data yang Dicuri PamStealer?

Infostealer peringkat kedua berasaskan Rust (Mach-O) mengumpul pelbagai data sensitif :

• Kata laluan log masuk — ditangkap melalui dialog NSAlert asli yang bertulis "Maccy wants to make changes. Enter your password to allow this," kemudian disahkan secara tempatan melalui PAM (pam_start, pam_authenticate, pam_end) tanpa sebarang aktiviti cangkerang yang kelihatan .
• Entri Rantai Kunci — memuatkan Security.framework pada waktu jalan (bukan dalam jadual import statik) untuk menarik kata laluan dari Rantai Kunci macOS .
• Bukti kelayakan penyemak imbas, kuki, dan data sambungan dompet — membuka pangkalan data bukti kelayakan secara langsung menggunakan panggilan bacaan SQLite yang dibundel .
• Kandungan papan klip — menjalankan utiliti pbpaste terbina secara berulang untuk memantau dan mengeksfiltrasi apa sahaja yang disalin oleh pengguna .
• Sasaran Akses Cakera Penuh — jika pengguna kemudian memberikan FDA (diminta selepas kelewatan sehingga 40 minit), fail yang dilindungi juga boleh diakses .
• Peninjauan dompet mata wang kripto — konfigurasi C2 termasuk titik akhir Ethereum JSON-RPC, dan perisian perosak telah diperhatikan menyambung ke ethereum-rpc.publicnode[.]com dalam amalan .

Semua data yang dicuri disulitkan dengan ChaCha20-Poly1305 dan dieksfiltrasi melalui HTTPS ke titik akhir C2 (domain yang diperhatikan: avenger-sync[.]live dan avengerflow[.]com), dibalut dalam sampul JSON MacOSapp1{"data":"..."} .

Penunjuk Jangkitan (IOC)

Pencetus Tandatangan Kod Editor Skrip

Sebelum melancarkan muatan, dropper menandatangani bundle aplikasi palsu secara ad-hoc dengan

codesign -fs - --deep

Proses "Finder" Palsu Menggunakan pbpaste

Muatan peringkat kedua diletakkan di dalam bundle bernama Finder.app dengan pengecam bundle com.apple.finder.monitor dan ikon Finder.icns tulen disalin dari /System/Library/CoreServices/ . Ia kemudian menjana pbpaste untuk mencuri data papan klip, jadi Pemantau Aktiviti mungkin menunjukkan proses Finder kedua yang melakukan bacaan papan klip — satu anomali yang kuat .

Item Log Masuk Baharu Dengan Ikon Sistem yang Disalin

Kegigihan diwujudkan melalui Item Log Masuk (bukan LaunchAgents/LaunchDaemons) menggunakan kedua-dua API SMAppService moden dan API LSSharedFileList warisan, dengan perisian perosak dibundel di dalam: com.apple.finder.monitor dan com.apple.security.daemon (menyamar sebagai Kemas Kini Perisian) . Kerana anak tetingkap Item Log Masuk dalam Tetapan Sistem tidak menunjukkan laluan penuh, perisian perosak kelihatan sebagai entri sistem yang sah .

Penunjuk Lain

• Fail penanda bernama .Maccy digugurkan bersama bundle yang dipentaskan .
• Dropper melaksanakan muatan JavaScript for Automation (JXA) melalui API ObjC asli (NSURLSession), menghasilkan lebih sedikit artifak penciptaan proses berbanding pemuat turun curl/osascript biasa .
• Geopagar: pelaksanaan dibatalkan jika zon waktu, tempatan, susun atur papan kekunci, atau kod negara sepadan dengan Rusia, Belarus, Kazakhstan, atau 8 negara CIS yang lain .

Bagaimana Pengguna Boleh Kekal Selamat

• Muat turun Maccy hanya dari domain sah maccy.app, atau melalui Homebrew / repositori GitHub rasmi. Projek sebenar adalah sumber terbuka (lesen MIT) dan dijalankan oleh pemaju Alexey Rodionov (Pengecam Pasukan MN3X4648SC) .
• Jangan sekali-kali buka fail .scpt dalam Editor Skrip dari imej cakera yang dimuat turun dan tekan Run. Tiada aplikasi macOS yang sah meminta anda melakukan ini .
• Teliti gesaan kata laluan pentadbir yang tidak dijangka. Dialog PamStealer berbunyi "Maccy wants to make changes" — tetapi aplikasi sebenar tidak memerlukan kata laluan anda untuk memasang pengurus papan klip dari sumber rasminya .
• Mencurigai permintaan Akses Cakera Penuh yang tertangguh. Jika aplikasi meminta FDA 30–40 minit selepas pemasangan tanpa sebab yang jelas, kemungkinan besar ia adalah perisian perosak yang menunggu untuk mengelakkan atribusi .
• Periksa Item Log Masuk dalam Tetapan Sistem → Umum → Item Log Masuk untuk entri yang mencurigakan dinamakan sempena komponen sistem (cth., com.apple.finder.monitor) yang anda tidak tambah dengan sengaja .
• Pantau untuk berbilang proses Finder dalam Pemantau Aktiviti, terutamanya yang tidak mempunyai tetingkap yang kelihatan .