PamStealer-svindel på Mac: Slik stjeler den passordet ditt via Apples eget PAM-system

En ny macOS-infostealer kalt PamStealer sprer seg – og den har et spesielt ubehagelig triks. I stedet for å blindt akseptere passordet du skriver inn i en falsk dialogboks, validerer den passordet mot Apples egne Pluggable Authentication Modules (PAM) før det sendes videre. Det betyr at angripere kun får fungerende passord – ikke skrivefeil eller avledningsmanøvrer. Først dokumentert av Jamf Threat Labs 2. juli 2026 , representerer PamStealer en bekymringsfull utvikling innen passordtyveri på macOS.

Slik infiserer PamStealer via typosquatting

Malwaren distribueres fra et typosquat-domen – maccyapp[.]com – designet for å etterligne den ekte utklippstavle-appen Maccy. Det ekte Maccy distribueres kun fra maccy.app, Homebrew eller det offisielle GitHub-repositoriet . Den ekte nettsiden advarer uttrykkelig brukere om disse kopi-nettene .

Når et offer besøker den falske nettsiden, får de et diskbilde (.dmg) som inneholder en kompilert AppleScript-fil med navnet Maccy.scpt . Ekte Maccy har aldri blitt distribuert som DMG; det leveres kun som Maccy.app.zip .

Når filen dobbeltklikkes, åpner macOS .scpt-filer i Script Editor. Den synlige delen av filen viser merkede instruksjoner om å trykke ⌘+R for å "komme i gang", mens den ondsinnede koden er gjemt langt nede etter en stor blokk med tomme linjer . Teksten bruker også greske og kyrilliske homoglyfer i ordet "Maccy" for å lure tekstbaserte skannere .

Hvilke data stjeler PamStealer?

Andre-stegs nyttelasten, en Rust-basert Mach-O-infostealer, samler inn et bredt spekter av sensitive data :

• Innloggingspassord – fanges via en NSAlert-dialog som sier "Maccy ønsker å gjøre endringer. Skriv inn passordet ditt for å tillate dette", og valideres lokalt gjennom PAM (pam_start, pam_authenticate, pam_end) uten synlig terminalaktivitet .
• Nøkkelringoppføringer – laster Security.framework dynamisk, ikke fra den statiske importtabellen, for å hente passord fra macOS-nøkkelringen .
• Nettleserpassord, informasjonskapsler og lommebokdata – åpner passorddatabaser direkte med innebygde SQLite-kall .
• Utklippstavleinnhold – kjører pbpaste gjentatte ganger for å overvåke og eksfiltrere alt brukeren kopierer .
• Full Disk Access-mål – hvis brukeren senere gir FDA (forespurt etter opptil 40 minutter), blir også beskyttede filer tilgjengelige .

Alle stjålne data krypteres med ChaCha20-Poly1305 og eksfiltreres over HTTPS til C2-endepunkter (observerte domener: avenger-sync[.]live og avengerflow[.]com), innpakket i en JSON-konvolutt MacOSapp1{"data":"..."} .

Smitteindikatorer (IOCs)

Script Editor-signeringsutløsere

Før nyttelasten startes, signerer dropperen den falske applikasjonspakken ad-hoc med

codesign -fs - --deep

Falsk "Finder"-prosess som bruker pbpaste

Andre-stegs nyttelasten legges i en pakke kalt Finder.app med pakkeidentifikatoren com.apple.finder.monitor og det ekte Finder.icns-ikonet kopiert fra /System/Library/CoreServices/ . Den starter deretter pbpaste for å stjele utklippstavle-data. Aktivitetsmonitor kan derfor vise en ekstra Finder-prosess som utfører utklippstavle-avlesninger – en sterk indikator på urent spill .

Nye påloggingsenheter med kopierte systemikoner

Vedvarende tilgang opprettes via påloggingsenheter (Login Items), ikke LaunchAgents/LaunchDaemons. Det brukes både det moderne SMAppService-APIet og det eldre LSSharedFileList-APIet. Malwaren pakkes inn i: com.apple.finder.monitor og com.apple.security.daemon (forkledd som programvareoppdatering) . Siden ruten for påloggingsenheter i Systeminnstillinger ikke viser fullstendige stier, fremstår malwaren som legitim systemprogramvare .

Andre indikatorer

• En markørfil kalt .Maccy legges ved siden av den iscenesatte pakken .
• Dropperen kjører en JavaScript for Automation (JXA)-nyttelast via innfødte ObjC-APIer (NSURLSession), noe som gir færre prosess-sporingsartefakter enn typiske curl/osascript-baserte nedlastere .
• Geografisk avgrensning: utførelsen avbrytes hvis tidssone, lokalitet, tastaturoppsett eller landkode samsvarer med Russland, Belarus, Kasakhstan eller 8 andre CIS-land .

Slik holder du deg trygg

• Last ned Maccy kun fra det ekte domenet maccy.app, eller via Homebrew / det offisielle GitHub-repositoriet. Det ekte prosjektet er åpen kildekode (MIT-lisens) og drives av utvikleren Alexey Rodionov (Team Identifier MN3X4648SC) .
• Åpne aldri .scpt-filer i Script Editor fra et nedlastet diskbilde og trykk på Kjør. Ingen ekte macOS-app ber deg om dette .
• Vær skeptisk til uventede administrator-passordforespørsler. PamStealers dialog sier "Maccy ønsker å gjøre endringer" – men en ekte app ville ikke trenge passordet ditt for å installere en utklippstavlebehandler fra den offisielle kilden .
• Vær mistenksom ovenfor forsinkede Full Disk Access-forespørsler. Hvis en app ber om FDA 30–40 minutter etter installasjon uten åpenbar grunn, er det sannsynligvis skadelig programvare som venter med å bli oppdaget .