Pas op voor PamStealer: nieuwe macOS-malware steelt wachtwoorden via Apple's eigen PAM-systeem

Een nieuwe macOS-infostealer genaamd PamStealer doet de ronde – en hij heeft een bijzonder gemene truc in petto. In plaats van blindelings elk wachtwoord te accepteren dat een slachtoffer in een nep-dialoogvenster typt, valideert de malware het wachtwoord eerst tegen Apple's eigen Pluggable Authentication Modules (PAM) voordat het wordt geëxfiltreerd. Dit betekent dat aanvallers alleen werkende credentials binnenkrijgen, geen typefouten of neppers. Voor het eerst gedocumenteerd door Jamf Threat Labs op 2 juli 2026 , vertegenwoordigt PamStealer een zorgwekkende evolutie in macOS-credentialdiefstal.

Hoe PamStealer slachtoffers infecteert via typosquatting

De malware wordt verspreid vanaf een typosquat-domein – maccyapp[.]com – dat is ontworpen om de legitieme Maccy klembordmanager na te bootsen. De echte Maccy wordt alleen gedistribueerd via maccy.app, Homebrew of de officiële GitHub-repository . De legitieme site waarschuwt gebruikers expliciet voor deze neppagina's .

Wanneer een slachtoffer de nepsite bezoekt, krijgt hij een schijfimage (.dmg) aangeboden met daarin een gecompileerd AppleScript-bestand met de naam Maccy.scpt . De legitieme Maccy heeft nog nooit een DMG verspreid; het wordt alleen geleverd als Maccy.app.zip .

Bij dubbelklikken opent macOS .scpt-bestanden standaard in Script Editor. Het zichtbare deel van het bestand toont instructies met het logo van Maccy die de gebruiker vertelt op ⌘+R te drukken om 'te starten', terwijl de daadwerkelijke kwaadaardige code verborgen is diep na een groot blok lege regels . De tekst maakt ook gebruik van Griekse en Cyrillische homogliefen in het woord 'Maccy' om tekstgebaseerde scanners te misleiden .

Welke gegevens steelt PamStealer?

De tweede fase van de aanval is een in Rust geschreven Mach-O infostealer die een breed scala aan gevoelige data verzamelt :

• Inlogwachtwoord – vastgelegd via een native NSAlert-dialoogvenster met de tekst 'Maccy wil wijzigingen aanbrengen. Voer je wachtwoord in om dit toe te staan', en vervolgens lokaal gevalideerd via PAM (pam_start, pam_authenticate, pam_end), zonder zichtbare shell-activiteit .
• Sleutelhanger-items – laadt Security.framework tijdens runtime (niet in de statische importtabel) om wachtwoorden uit de macOS Keychain te halen .
• Browsercredentials, cookies en portemonnee-extensies – opent credential-databases direct met gebundelde SQLite-aanroepen .
• Klembordinhoud – voert herhaaldelijk het ingebouwde pbpaste-hulpprogramma uit om te monitoren en te exfiltreren wat de gebruiker kopieert .
• Bestanden met schijftoegang – als de gebruiker later 'Volledige Schijftoegang' verleent (na een vertraging van maximaal 40 minuten), worden ook beveiligde bestanden toegankelijk .
• Cryptovaluta-portemonneeverkenning – de C2-configuratie bevat Ethereum JSON-RPC-eindpunten, en de malware is in de praktijk waargenomen die verbinding maakt met ethereum-rpc.publicnode[.]com .

Alle gestolen gegevens worden versleuteld met ChaCha20-Poly1305 en geëxfiltreerd via HTTPS naar C2-eindpunten (waargenomen domeinen: avenger-sync[.]live en avengerflow[.]com), verpakt in een MacOSapp1{"data":"..."} JSON-envelop .

Infectie-indicatoren (IOC's)

Script Editor code-ondertekeningstriggers

Voordat de payload wordt gelanceerd, ondertekent de dropper de neppe applicatiebundel ad-hoc met

codesign -fs - --deep

Nep 'Finder'-proces dat pbpaste gebruikt

De payload uit de tweede fase wordt geplaatst in een bundel met de naam Finder.app, met de bundel-ID com.apple.finder.monitor en het echte Finder.icns-pictogram dat is gekopieerd van /System/Library/CoreServices/ . Vervolgens wordt pbpaste gestart om klembordgegevens te stelen, waardoor Activiteitenweergave een tweede Finder-proces kan tonen dat klembord-uitlezingen uitvoert – een sterke afwijking .

Nieuwe login-items met gekopieerde systeempictogrammen

Persistentie wordt bereikt via Login Items (niet LaunchAgents/LaunchDaemons) met behulp van zowel de moderne SMAppService-API als de verouderde LSSharedFileList-API, waarbij de malware gebundeld zit onder: com.apple.finder.monitor en com.apple.security.daemon (zich voordoend als Software-update) . Omdat het venster 'Login-items' in Systeeminstellingen geen volledige paden toont, verschijnt de malware als legitieme systeemvermeldingen .

Andere indicatoren

• Er wordt een markeringsbestand met de naam .Maccy achtergelaten naast de gefaseerde bundel .
• De dropper voert een JavaScript for Automation (JXA)-payload uit via native ObjC-API's (NSURLSession), wat minder proces-creatie-artefacten oplevert dan typische op curl/osascript gebaseerde downloaders .
• Geo-fencing: de uitvoering wordt afgebroken als de tijdzone, locale, toetsenbordindeling of landcode overeenkomt met Rusland, Wit-Rusland, Kazachstan of 8 andere GOS-landen .

Hoe gebruikers veilig kunnen blijven

• Download Maccy uitsluitend van het legitieme domein maccy.app, of via Homebrew / de officiële GitHub-repository. Het echte project is open-source (MIT-licentie) en wordt beheerd door ontwikkelaar Alexey Rodionov (Team-ID MN3X4648SC) .
• Open nooit .scpt-bestanden in Script Editor van een gedownload schijfimage en druk op Uitvoeren. Geen enkele legitieme macOS-app vraagt je dit te doen .
• Bekijk onverwachte beheerderswachtwoordprompts met argwaan. Het dialoogvenster van PamStealer zegt 'Maccy wil wijzigingen aanbrengen' – maar een echte app zou je wachtwoord niet nodig hebben om een klembordmanager van de officiële bron te installeren .
• Wees wantrouwig bij vertraagde verzoeken om 'Volledige Schijftoegang'. Als een app 30–40 minuten na installatie om FDA vraagt zonder duidelijke reden, is het waarschijnlijk malware die probeert toewijzing te ontwijken .
• Controleer Login Items in Systeeminstellingen → Algemeen → Login-items op verdachte vermeldingen met namen van systeemcomponenten (bijv. com.apple.finder.monitor) die je niet zelf hebt toegevoegd .
• Houd meerdere Finder-processen in de gaten in Activiteitenweergave, vooral een proces dat geen zichtbaar venster heeft .