PamStealer-svindel på Mac: Slik stjeler den passordet ditt via Apples eget PAM-system

Når et offer besøker den falske nettsiden, får de et diskbilde (.dmg) som inneholder en kompilert AppleScript-fil med navnet Maccy.scpt ^JP. Ekte Maccy har aldri blitt distribuert som DMG; det leveres kun som Maccy.app.zip ^P.

Når filen dobbeltklikkes, åpner macOS .scpt-filer i Script Editor. Den synlige delen av filen viser merkede instruksjoner om å trykke ⌘+R for å "komme i gang", mens den ondsinnede koden er gjemt langt nede etter en stor blokk med tomme linjer ^JP. Teksten bruker også greske og kyrilliske homoglyfer i ordet "Maccy" for å lure tekstbaserte skannere ^JF.

Hvilke data stjeler PamStealer?

Andre-stegs nyttelasten, en Rust-basert Mach-O-infostealer, samler inn et bredt spekter av sensitive data ^J:

• Innloggingspassord – fanges via en NSAlert-dialog som sier "Maccy ønsker å gjøre endringer. Skriv inn passordet ditt for å tillate dette", og valideres lokalt gjennom PAM (pam_start, pam_authenticate, pam_end) uten synlig terminalaktivitet ^J.
• Nøkkelringoppføringer – laster Security.framework dynamisk, ikke fra den statiske importtabellen, for å hente passord fra macOS-nøkkelringen ^J.
• Nettleserpassord, informasjonskapsler og lommebokdata – åpner passorddatabaser direkte med innebygde SQLite-kall ^J.
• Utklippstavleinnhold – kjører pbpaste gjentatte ganger for å overvåke og eksfiltrere alt brukeren kopierer ^JF.
• Full Disk Access-mål – hvis brukeren senere gir FDA (forespurt etter opptil 40 minutter), blir også beskyttede filer tilgjengelige ^F.
• Rekognosering av kryptolommebøker – C2-konfigurasjonen inkluderer Ethereum JSON-RPC-endepunkter, og malwaren har blitt observert koble seg til ethereum-rpc.publicnode[.]com ^J.

Alle stjålne data krypteres med ChaCha20-Poly1305 og eksfiltreres over HTTPS til C2-endepunkter (observerte domener: avenger-sync[.]live og avengerflow[.]com), innpakket i en JSON-konvolutt MacOSapp1{"data":"..."} ^JP.

Smitteindikatorer (IOCs)

Script Editor-signeringsutløsere

Før nyttelasten startes, signerer dropperen den falske applikasjonspakken ad-hoc med codesign -fs - --deep (ikke en ekte Developer ID-signatur), og starter den skjult uten vindu eller Dock-tilstedeværelse ^J. Malwaren sjekker også etter feilsøkingsverktøy og System Integrity Protection før den fortsetter ^F.

Falsk "Finder"-prosess som bruker pbpaste

Andre-stegs nyttelasten legges i en pakke kalt Finder.app med pakkeidentifikatoren com.apple.finder.monitor og det ekte Finder.icns-ikonet kopiert fra /System/Library/CoreServices/ ^JP. Den starter deretter pbpaste for å stjele utklippstavle-data. Aktivitetsmonitor kan derfor vise en ekstra Finder-prosess som utfører utklippstavle-avlesninger – en sterk indikator på urent spill ^J.

Nye påloggingsenheter med kopierte systemikoner

Vedvarende tilgang opprettes via påloggingsenheter (Login Items), ikke LaunchAgents/LaunchDaemons. Det brukes både det moderne SMAppService-APIet og det eldre LSSharedFileList-APIet. Malwaren pakkes inn i: com.apple.finder.monitor og com.apple.security.daemon (forkledd som programvareoppdatering) ^JPF. Siden ruten for påloggingsenheter i Systeminnstillinger ikke viser fullstendige stier, fremstår malwaren som legitim systemprogramvare ^PT.

Andre indikatorer

• En markørfil kalt .Maccy legges ved siden av den iscenesatte pakken ^J.
• Dropperen kjører en JavaScript for Automation (JXA)-nyttelast via innfødte ObjC-APIer (NSURLSession), noe som gir færre prosess-sporingsartefakter enn typiske curl/osascript-baserte nedlastere ^J.
• Geografisk avgrensning: utførelsen avbrytes hvis tidssone, lokalitet, tastaturoppsett eller landkode samsvarer med Russland, Belarus, Kasakhstan eller 8 andre CIS-land ^JP.

Slik holder du deg trygg

• Last ned Maccy kun fra det ekte domenet maccy.app, eller via Homebrew / det offisielle GitHub-repositoriet. Det ekte prosjektet er åpen kildekode (MIT-lisens) og drives av utvikleren Alexey Rodionov (Team Identifier MN3X4648SC) ^JP.
• Åpne aldri .scpt-filer i Script Editor fra et nedlastet diskbilde og trykk på Kjør. Ingen ekte macOS-app ber deg om dette ^JF.
• Vær skeptisk til uventede administrator-passordforespørsler. PamStealers dialog sier "Maccy ønsker å gjøre endringer" – men en ekte app ville ikke trenge passordet ditt for å installere en utklippstavlebehandler fra den offisielle kilden ^J.
• Vær mistenksom ovenfor forsinkede Full Disk Access-forespørsler. Hvis en app ber om FDA 30–40 minutter etter installasjon uten åpenbar grunn, er det sannsynligvis skadelig programvare som venter med å bli oppdaget ^F.
• Sjekk påloggingsenheter i Systeminnstillinger → Generelt → Påloggingsenheter for mistenkelige oppføringer som er navngitt etter systemkomponenter (f.eks. com.apple.finder.monitor) som du ikke har lagt til med vilje ^PJ.
• Overvåk for flere Finder-prosesser i Aktivitetsmonitor, spesielt en som ikke har et synlig vindu ^J.