Pas op voor PamStealer: nieuwe macOS-malware steelt wachtwoorden via Apple's eigen PAM-systeem
PamStealer is een tweedelige macOS infostealer die voor het eerst is gedocumenteerd door Jamf Threat Labs op 2 juli 2026 [19][1]. De malware gebruikt Apple's Pluggable Authentication Modules (PAM) om ingevoerde wachtwoorden lokaal te valideren, zodat alleen werkende credentials worden gestolen.
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
PamStealer is een tweedelige macOS infostealer die voor het eerst is gedocumenteerd door Jamf Threat Labs op 2 juli 2026 [19][1].
De malware gebruikt Apple's Pluggable Authentication Modules (PAM) om ingevoerde wachtwoorden lokaal te valideren, zodat alleen werkende credentials worden gestolen.
Verspreiding verloopt via een typosquat domein (maccyapp[.]com) dat de legitieme Maccy klembordmanager nabootst; gebruikers krijgen een schijfimage met een kwaadaardig AppleScript bestand.
Bij uitvoering scant de malware onder andere Keychain gegevens, browsercookies, crypto portemonnees en het klembord; gestolen data wordt versleuteld met ChaCha20 Poly1305 en via HTTPS geëxfiltreerd.
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
Een nieuwe macOS-infostealer genaamd PamStealer doet de ronde – en hij heeft een bijzonder gemene truc in petto. In plaats van blindelings elk wachtwoord te accepteren dat een slachtoffer in een nep-dialoogvenster typt, valideert de malware het wachtwoord eerst tegen Apple's eigen Pluggable Authentication Modules (PAM) voordat het wordt geëxfiltreerd. Dit betekent dat aanvallers alleen werkende credentials binnenkrijgen, geen typefouten of neppers. Voor het eerst gedocumenteerd door Jamf Threat Labs op 2 juli 2026 , vertegenwoordigt PamStealer een zorgwekkende evolutie in macOS-credentialdiefstal.
Hoe PamStealer slachtoffers infecteert via typosquatting
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Pas op voor PamStealer: nieuwe macOS-malware steelt wachtwoorden via Apple's eigen PAM-systeem"?
PamStealer is een tweedelige macOS infostealer die voor het eerst is gedocumenteerd door Jamf Threat Labs op 2 juli 2026 [19][1].
What are the key points to validate first?
PamStealer is een tweedelige macOS infostealer die voor het eerst is gedocumenteerd door Jamf Threat Labs op 2 juli 2026 [19][1]. De malware gebruikt Apple's Pluggable Authentication Modules (PAM) om ingevoerde wachtwoorden lokaal te valideren, zodat alleen werkende credentials worden gestolen.
What should I do next in practice?
Verspreiding verloopt via een typosquat domein (maccyapp[.]com) dat de legitieme Maccy klembordmanager nabootst; gebruikers krijgen een schijfimage met een kwaadaardig AppleScript bestand.
Pas op voor PamStealer: nieuwe macOS-malware steelt wachtwoorden via Apple's eigen PAM-systeem
PamStealer is een tweedelige macOS infostealer die voor het eerst is gedocumenteerd door Jamf Threat Labs op 2 juli 2026 [19][1]. De malware gebruikt Apple's Pluggable Authentication Modules (PAM) om ingevoerde wachtwoorden lokaal te valideren, zodat alleen werkende credentials worden gestolen.
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
PamStealer is een tweedelige macOS infostealer die voor het eerst is gedocumenteerd door Jamf Threat Labs op 2 juli 2026 [19][1].
De malware gebruikt Apple's Pluggable Authentication Modules (PAM) om ingevoerde wachtwoorden lokaal te valideren, zodat alleen werkende credentials worden gestolen.
Verspreiding verloopt via een typosquat domein (maccyapp[.]com) dat de legitieme Maccy klembordmanager nabootst; gebruikers krijgen een schijfimage met een kwaadaardig AppleScript bestand.
Bij uitvoering scant de malware onder andere Keychain gegevens, browsercookies, crypto portemonnees en het klembord; gestolen data wordt versleuteld met ChaCha20 Poly1305 en via HTTPS geëxfiltreerd.
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
Een nieuwe macOS-infostealer genaamd PamStealer doet de ronde – en hij heeft een bijzonder gemene truc in petto. In plaats van blindelings elk wachtwoord te accepteren dat een slachtoffer in een nep-dialoogvenster typt, valideert de malware het wachtwoord eerst tegen Apple's eigen Pluggable Authentication Modules (PAM) voordat het wordt geëxfiltreerd. Dit betekent dat aanvallers alleen werkende credentials binnenkrijgen, geen typefouten of neppers. Voor het eerst gedocumenteerd door Jamf Threat Labs op 2 juli 2026 , vertegenwoordigt PamStealer een zorgwekkende evolutie in macOS-credentialdiefstal.
Hoe PamStealer slachtoffers infecteert via typosquatting
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Pas op voor PamStealer: nieuwe macOS-malware steelt wachtwoorden via Apple's eigen PAM-systeem"?
PamStealer is een tweedelige macOS infostealer die voor het eerst is gedocumenteerd door Jamf Threat Labs op 2 juli 2026 [19][1].
What are the key points to validate first?
PamStealer is een tweedelige macOS infostealer die voor het eerst is gedocumenteerd door Jamf Threat Labs op 2 juli 2026 [19][1]. De malware gebruikt Apple's Pluggable Authentication Modules (PAM) om ingevoerde wachtwoorden lokaal te valideren, zodat alleen werkende credentials worden gestolen.
What should I do next in practice?
Verspreiding verloopt via een typosquat domein (maccyapp[.]com) dat de legitieme Maccy klembordmanager nabootst; gebruikers krijgen een schijfimage met een kwaadaardig AppleScript bestand.
De malware wordt verspreid vanaf een typosquat-domein – maccyapp[.]com – dat is ontworpen om de legitieme Maccy klembordmanager na te bootsen. De echte Maccy wordt alleen gedistribueerd via maccy.app, Homebrew of de officiële GitHub-repository . De legitieme site waarschuwt gebruikers expliciet voor deze neppagina's .
Wanneer een slachtoffer de nepsite bezoekt, krijgt hij een schijfimage (.dmg) aangeboden met daarin een gecompileerd AppleScript-bestand met de naam Maccy.scpt. De legitieme Maccy heeft nog nooit een DMG verspreid; het wordt alleen geleverd als Maccy.app.zip.
Bij dubbelklikken opent macOS .scpt-bestanden standaard in Script Editor. Het zichtbare deel van het bestand toont instructies met het logo van Maccy die de gebruiker vertelt op ⌘+R te drukken om 'te starten', terwijl de daadwerkelijke kwaadaardige code verborgen is diep na een groot blok lege regels . De tekst maakt ook gebruik van Griekse en Cyrillische homogliefen in het woord 'Maccy' om tekstgebaseerde scanners te misleiden .
Welke gegevens steelt PamStealer?
De tweede fase van de aanval is een in Rust geschreven Mach-O infostealer die een breed scala aan gevoelige data verzamelt :
Inlogwachtwoord – vastgelegd via een native NSAlert-dialoogvenster met de tekst 'Maccy wil wijzigingen aanbrengen. Voer je wachtwoord in om dit toe te staan', en vervolgens lokaal gevalideerd via PAM (pam_start, pam_authenticate, pam_end), zonder zichtbare shell-activiteit .
Sleutelhanger-items – laadt Security.framework tijdens runtime (niet in de statische importtabel) om wachtwoorden uit de macOS Keychain te halen .
Browsercredentials, cookies en portemonnee-extensies – opent credential-databases direct met gebundelde SQLite-aanroepen .
Klembordinhoud – voert herhaaldelijk het ingebouwde pbpaste-hulpprogramma uit om te monitoren en te exfiltreren wat de gebruiker kopieert .
Bestanden met schijftoegang – als de gebruiker later 'Volledige Schijftoegang' verleent (na een vertraging van maximaal 40 minuten), worden ook beveiligde bestanden toegankelijk .
Cryptovaluta-portemonneeverkenning – de C2-configuratie bevat Ethereum JSON-RPC-eindpunten, en de malware is in de praktijk waargenomen die verbinding maakt met ethereum-rpc.publicnode[.]com.
Alle gestolen gegevens worden versleuteld met ChaCha20-Poly1305 en geëxfiltreerd via HTTPS naar C2-eindpunten (waargenomen domeinen: avenger-sync[.]live en avengerflow[.]com), verpakt in een MacOSapp1{"data":"..."} JSON-envelop .
Infectie-indicatoren (IOC's)
Script Editor code-ondertekeningstriggers
Voordat de payload wordt gelanceerd, ondertekent de dropper de neppe applicatiebundel ad-hoc met codesign -fs - --deep (geen legitieme Developer ID-handtekening) en start deze vervolgens verborgen zonder venster of Dock-aanwezigheid . De malware controleert ook op debuggingtools en System Integrity Protection voordat hij verdergaat .
Nep 'Finder'-proces dat pbpaste gebruikt
De payload uit de tweede fase wordt geplaatst in een bundel met de naam Finder.app, met de bundel-ID com.apple.finder.monitor en het echte Finder.icns-pictogram dat is gekopieerd van /System/Library/CoreServices/. Vervolgens wordt pbpaste gestart om klembordgegevens te stelen, waardoor Activiteitenweergave een tweede Finder-proces kan tonen dat klembord-uitlezingen uitvoert – een sterke afwijking .
Nieuwe login-items met gekopieerde systeempictogrammen
Persistentie wordt bereikt via Login Items (niet LaunchAgents/LaunchDaemons) met behulp van zowel de moderne SMAppService-API als de verouderde LSSharedFileList-API, waarbij de malware gebundeld zit onder: com.apple.finder.monitor en com.apple.security.daemon (zich voordoend als Software-update) . Omdat het venster 'Login-items' in Systeeminstellingen geen volledige paden toont, verschijnt de malware als legitieme systeemvermeldingen .
Andere indicatoren
Er wordt een markeringsbestand met de naam .Maccy achtergelaten naast de gefaseerde bundel .
De dropper voert een JavaScript for Automation (JXA)-payload uit via native ObjC-API's (NSURLSession), wat minder proces-creatie-artefacten oplevert dan typische op curl/osascript gebaseerde downloaders .
Geo-fencing: de uitvoering wordt afgebroken als de tijdzone, locale, toetsenbordindeling of landcode overeenkomt met Rusland, Wit-Rusland, Kazachstan of 8 andere GOS-landen .
Hoe gebruikers veilig kunnen blijven
Download Maccy uitsluitend van het legitieme domein maccy.app, of via Homebrew / de officiële GitHub-repository. Het echte project is open-source (MIT-licentie) en wordt beheerd door ontwikkelaar Alexey Rodionov (Team-ID MN3X4648SC) .
Open nooit .scpt-bestanden in Script Editor van een gedownload schijfimage en druk op Uitvoeren. Geen enkele legitieme macOS-app vraagt je dit te doen .
Bekijk onverwachte beheerderswachtwoordprompts met argwaan. Het dialoogvenster van PamStealer zegt 'Maccy wil wijzigingen aanbrengen' – maar een echte app zou je wachtwoord niet nodig hebben om een klembordmanager van de officiële bron te installeren .
Wees wantrouwig bij vertraagde verzoeken om 'Volledige Schijftoegang'. Als een app 30–40 minuten na installatie om FDA vraagt zonder duidelijke reden, is het waarschijnlijk malware die probeert toewijzing te ontwijken .
Controleer Login Items in Systeeminstellingen → Algemeen → Login-items op verdachte vermeldingen met namen van systeemcomponenten (bijv. com.apple.finder.monitor) die je niet zelf hebt toegevoegd .
Houd meerdere Finder-processen in de gaten in Activiteitenweergave, vooral een proces dat geen zichtbaar venster heeft .
De malware wordt verspreid vanaf een typosquat-domein – maccyapp[.]com – dat is ontworpen om de legitieme Maccy klembordmanager na te bootsen. De echte Maccy wordt alleen gedistribueerd via maccy.app, Homebrew of de officiële GitHub-repository . De legitieme site waarschuwt gebruikers expliciet voor deze neppagina's .
Wanneer een slachtoffer de nepsite bezoekt, krijgt hij een schijfimage (.dmg) aangeboden met daarin een gecompileerd AppleScript-bestand met de naam Maccy.scpt. De legitieme Maccy heeft nog nooit een DMG verspreid; het wordt alleen geleverd als Maccy.app.zip.
Bij dubbelklikken opent macOS .scpt-bestanden standaard in Script Editor. Het zichtbare deel van het bestand toont instructies met het logo van Maccy die de gebruiker vertelt op ⌘+R te drukken om 'te starten', terwijl de daadwerkelijke kwaadaardige code verborgen is diep na een groot blok lege regels . De tekst maakt ook gebruik van Griekse en Cyrillische homogliefen in het woord 'Maccy' om tekstgebaseerde scanners te misleiden .
Welke gegevens steelt PamStealer?
De tweede fase van de aanval is een in Rust geschreven Mach-O infostealer die een breed scala aan gevoelige data verzamelt :
Inlogwachtwoord – vastgelegd via een native NSAlert-dialoogvenster met de tekst 'Maccy wil wijzigingen aanbrengen. Voer je wachtwoord in om dit toe te staan', en vervolgens lokaal gevalideerd via PAM (pam_start, pam_authenticate, pam_end), zonder zichtbare shell-activiteit .
Sleutelhanger-items – laadt Security.framework tijdens runtime (niet in de statische importtabel) om wachtwoorden uit de macOS Keychain te halen .
Browsercredentials, cookies en portemonnee-extensies – opent credential-databases direct met gebundelde SQLite-aanroepen .
Klembordinhoud – voert herhaaldelijk het ingebouwde pbpaste-hulpprogramma uit om te monitoren en te exfiltreren wat de gebruiker kopieert .
Bestanden met schijftoegang – als de gebruiker later 'Volledige Schijftoegang' verleent (na een vertraging van maximaal 40 minuten), worden ook beveiligde bestanden toegankelijk .
Cryptovaluta-portemonneeverkenning – de C2-configuratie bevat Ethereum JSON-RPC-eindpunten, en de malware is in de praktijk waargenomen die verbinding maakt met ethereum-rpc.publicnode[.]com.
Alle gestolen gegevens worden versleuteld met ChaCha20-Poly1305 en geëxfiltreerd via HTTPS naar C2-eindpunten (waargenomen domeinen: avenger-sync[.]live en avengerflow[.]com), verpakt in een MacOSapp1{"data":"..."} JSON-envelop .
Infectie-indicatoren (IOC's)
Script Editor code-ondertekeningstriggers
Voordat de payload wordt gelanceerd, ondertekent de dropper de neppe applicatiebundel ad-hoc met codesign -fs - --deep (geen legitieme Developer ID-handtekening) en start deze vervolgens verborgen zonder venster of Dock-aanwezigheid . De malware controleert ook op debuggingtools en System Integrity Protection voordat hij verdergaat .
Nep 'Finder'-proces dat pbpaste gebruikt
De payload uit de tweede fase wordt geplaatst in een bundel met de naam Finder.app, met de bundel-ID com.apple.finder.monitor en het echte Finder.icns-pictogram dat is gekopieerd van /System/Library/CoreServices/. Vervolgens wordt pbpaste gestart om klembordgegevens te stelen, waardoor Activiteitenweergave een tweede Finder-proces kan tonen dat klembord-uitlezingen uitvoert – een sterke afwijking .
Nieuwe login-items met gekopieerde systeempictogrammen
Persistentie wordt bereikt via Login Items (niet LaunchAgents/LaunchDaemons) met behulp van zowel de moderne SMAppService-API als de verouderde LSSharedFileList-API, waarbij de malware gebundeld zit onder: com.apple.finder.monitor en com.apple.security.daemon (zich voordoend als Software-update) . Omdat het venster 'Login-items' in Systeeminstellingen geen volledige paden toont, verschijnt de malware als legitieme systeemvermeldingen .
Andere indicatoren
Er wordt een markeringsbestand met de naam .Maccy achtergelaten naast de gefaseerde bundel .
De dropper voert een JavaScript for Automation (JXA)-payload uit via native ObjC-API's (NSURLSession), wat minder proces-creatie-artefacten oplevert dan typische op curl/osascript gebaseerde downloaders .
Geo-fencing: de uitvoering wordt afgebroken als de tijdzone, locale, toetsenbordindeling of landcode overeenkomt met Rusland, Wit-Rusland, Kazachstan of 8 andere GOS-landen .
Hoe gebruikers veilig kunnen blijven
Download Maccy uitsluitend van het legitieme domein maccy.app, of via Homebrew / de officiële GitHub-repository. Het echte project is open-source (MIT-licentie) en wordt beheerd door ontwikkelaar Alexey Rodionov (Team-ID MN3X4648SC) .
Open nooit .scpt-bestanden in Script Editor van een gedownload schijfimage en druk op Uitvoeren. Geen enkele legitieme macOS-app vraagt je dit te doen .
Bekijk onverwachte beheerderswachtwoordprompts met argwaan. Het dialoogvenster van PamStealer zegt 'Maccy wil wijzigingen aanbrengen' – maar een echte app zou je wachtwoord niet nodig hebben om een klembordmanager van de officiële bron te installeren .
Wees wantrouwig bij vertraagde verzoeken om 'Volledige Schijftoegang'. Als een app 30–40 minuten na installatie om FDA vraagt zonder duidelijke reden, is het waarschijnlijk malware die probeert toewijzing te ontwijken .
Controleer Login Items in Systeeminstellingen → Algemeen → Login-items op verdachte vermeldingen met namen van systeemcomponenten (bijv. com.apple.finder.monitor) die je niet zelf hebt toegevoegd .
Houd meerdere Finder-processen in de gaten in Activiteitenweergave, vooral een proces dat geen zichtbaar venster heeft .
jamf.comPamStealer: macOS Malware Posing as Clipboard Manager App
playtech.roPamStealer, noul malware care vânează parolele utilizatorilor de Mac: cum se ascunde într-o aplicație aparent inofensivă
maccyapp.comDownload Maccy 2.7.3 — Free Clipboard Manager for macOS
github.comGitHub - p0deje/Maccy: Lightweight clipboard manager for macOS