PamStealer: Nowy malware dla macOS, który weryfikuje hasła przez Apple PAM – jak działa i jak się bronić

Nowy infostealer dla macOS o nazwie PamStealer stanowi poważne zagrożenie – i ma wyjątkowo podstępny mechanizm działania. Zamiast ślepo akceptować każde hasło wpisane przez ofiarę w fałszywym oknie dialogowym, weryfikuje je lokalnie za pomocą własnego mechanizmu Apple – Pluggable Authentication Modules (PAM). Dzięki temu atakujący otrzymują wyłącznie działające dane logowania, a nie literówki czy przypadkowe ciągi znaków. PamStealer, po raz pierwszy udokumentowany przez Jamf Threat Labs 2 lipca 2026 roku ^JP, to niepokojąca ewolucja w kradzieży danych na macOS.

Jak PamStealer infekuje ofiary przez typosquatting

Złośliwe oprogramowanie jest dystrybuowane z domeny podszywającej się pod oryginalną – maccyapp[.]com – która naśladuje legalny projekt menedżera schowka Maccy. Prawdziwy Maccy jest dostępny wyłącznie z maccy.app, Homebrew lub jego oficjalnego repozytorium GitHub ^MG. Legalna strona wyraźnie ostrzega użytkowników przed tymi fałszywymi kopiami ^F.

Gdy ofiara odwiedzi fałszywą witrynę, otrzymuje obraz dysku (.dmg) zawierający skompilowany plik AppleScript o nazwie Maccy.scpt ^JP. Legalny Maccy nigdy nie był dystrybuowany jako DMG – jest dostępny tylko jako Maccy.app.zip ^P.

Po dwukrotnym kliknięciu macOS domyślnie otwiera pliki .scpt w Script Editor. Widoczna część pliku zawiera instrukcje marki zachęcające użytkownika do naciśnięcia ⌘+R, aby "rozpocząć", podczas gdy rzeczywisty złośliwy kod jest ukryty daleko poniżej, po dużym bloku pustych linii ^JP. Tekst zawiera także greckie i cyrylickie homoglify w słowie "Maccy", aby oszukać skanery tekstowe ^JF.

Jakie dane kradnie PamStealer?

Drugi etap ataku to infostealer napisany w Rust w formacie Mach-O, który gromadzi szeroki zakres wrażliwych danych ^J:

• Hasło logowania – przechwytywane przez natywne okno dialogowe NSAlert z treścią "Maccy wants to make changes. Enter your password to allow this", a następnie weryfikowane lokalnie przez PAM (pam_start, pam_authenticate, pam_end) bez widocznej aktywności w terminalu ^J.
• Wpisy z pęku kluczy (Keychain) – ładuje Security.framework w czasie wykonania (nie w statycznej tabeli importów), aby wyciągnąć hasła z pęku kluczy macOS ^J.
• Dane logowania, pliki cookie i dane portfeli kryptowalut z przeglądarek – otwiera bazy danych logowania bezpośrednio za pomocą zintegrowanych wywołań SQLite ^J.
• Zawartość schowka – wielokrotnie uruchamia wbudowane narzędzie pbpaste, aby monitorować i kraść wszystko, co użytkownik kopiuje ^JF.
• Dane chronione Pełnym Dostępem do Dysku (Full Disk Access) – jeśli użytkownik później przyzna FDA (o co malware prosi po opóźnieniu do 40 minut), chronione pliki stają się również dostępne ^F.
• Rozpoznanie portfeli kryptowalut – konfiguracja C2 zawiera punkty końcowe Ethereum JSON-RPC, a malware był obserwowany łączący się z ethereum-rpc.publicnode[.]com ^J.

Wszystkie skradzione dane są szyfrowane algorytmem ChaCha20-Poly1305 i eksfiltrowane przez HTTPS do punktów końcowych C2 (zaobserwowane domeny: avenger-sync[.]live i avengerflow[.]com), opakowane w kopertę JSON MacOSapp1{"data":"..."} ^JP.

Wskaźniki infekcji (IOCs)

Wyzwalacze podpisywania kodu w Script Editor

Przed uruchomieniem ładunku, dropper podpisuje ad-hoc fałszywy pakiet aplikacji za pomocą codesign -fs - --deep (nie jest to legalny podpis Developer ID), a następnie uruchamia go w ukryciu, bez okna i obecności w Docku ^J. Złośliwe oprogramowanie sprawdza również obecność narzędzi debugowania i ochrony integralności systemu (SIP) przed kontynuowaniem ^F.

Fałszywy proces "Finder" używający pbpaste

Drugi ładunek jest umieszczany w pakiecie o nazwie Finder.app z identyfikatorem pakietu com.apple.finder.monitor i oryginalną ikoną Finder.icns skopiowaną z /System/Library/CoreServices/ ^JP. Następnie uruchamia pbpaste, aby kraść dane ze schowka, więc Monitor aktywności może pokazywać drugi proces Findera wykonujący odczyty schowka – to silna anomalia ^J.

Nowe pozycje logowania ze skopiowanymi ikonami systemowymi

Trwałość jest ustanawiana przez Login Items (a nie LaunchAgents/LaunchDaemons) przy użyciu zarówno nowoczesnego API SMAppService, jak i starszego API LSSharedFileList, z malware umieszczonym w pakietach: com.apple.finder.monitor i com.apple.security.daemon (podszywający się pod aktualizację oprogramowania) ^JPF. Ponieważ panel Login Items w Ustawieniach Systemowych nie pokazuje pełnych ścieżek, malware pojawia się jako legalne wpisy systemowe ^PT.

Inne wskaźniki

• Plik znacznikowy o nazwie .Maccy jest umieszczany obok przygotowanego pakietu ^J.
• Dropper wykonuje ładunek JavaScript for Automation (JXA) przez natywne interfejsy API ObjC (NSURLSession), generując mniej artefaktów związanych z tworzeniem procesów niż typowe downloadery oparte na curl/osascript ^J.
• Geolokalizacja: wykonanie jest przerywane, jeśli strefa czasowa, ustawienia regionalne, układ klawiatury lub kod kraju pasują do Rosji, Białorusi, Kazachstanu lub 8 innych krajów WNP ^JP.

Jak użytkownicy mogą się chronić

• Pobieraj Maccy wyłącznie z legalnej domeny maccy.app, lub przez Homebrew / oficjalne repozytorium GitHub. Prawdziwy projekt jest open-source (licencja MIT) i prowadzony przez dewelopera Aleksieja Rodionowa (Team Identifier MN3X4648SC) ^JP.
• Nigdy nie otwieraj plików .scpt w Script Editor z pobranego obrazu dysku i nie naciskaj „Uruchom”. Żadna legalna aplikacja dla macOS nie wymaga tego od Ciebie ^JF.
• Dokładnie analizuj nieoczekiwane prośby o hasło administratora. Okno dialogowe PamStealer brzmi "Maccy wants to make changes" – ale prawdziwa aplikacja nie potrzebowałaby Twojego hasła do zainstalowania menedżera schowka z oficjalnego źródła ^J.
• Bądź podejrzliwy wobec opóźnionych próśb o Pełny Dostęp do Dysku. Jeśli aplikacja prosi o FDA 30–40 minut po instalacji bez wyraźnego powodu, to prawdopodobnie malware czekające, aby uniknąć przypisania ^F.
• Sprawdź Login Items w Ustawieniach Systemowych → Ogólne → Elementy logowania (Login Items) pod kątem podejrzanych wpisów nazwanych jak komponenty systemowe (np. com.apple.finder.monitor), których celowo nie dodałeś ^PJ.
• Monitoruj wiele procesów Findera w Monitorze aktywności, szczególnie takiego, który nie ma widocznego okna ^J.