PamStealer: Nowy malware dla macOS, który weryfikuje hasła przez Apple PAM – jak działa i jak się bronić
PamStealer to dwuetapowy infostealer dla macOS wykryty przez Jamf Threat Labs 2 lipca 2026 roku. Złośliwe oprogramowanie rozprzestrzenia się przez fałszywą domenę podszywającą się pod Maccy (maccyapp[.]com).
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
PamStealer to dwuetapowy infostealer dla macOS wykryty przez Jamf Threat Labs 2 lipca 2026 roku.
Złośliwe oprogramowanie rozprzestrzenia się przez fałszywą domenę podszywającą się pod Maccy (maccyapp[.]com).
PamStealer kradnie hasła logowania, dane z pęku kluczy macOS, dane logowania i pliki cookie z przeglądarek, zawartość schowka oraz informacje o portfelach kryptowalut.
Wskaźniki infekcji: drugi proces Finder w Monitorze aktywności, nowe pozycje logowania z ikonami systemowymi, plik .scpt w katalogu pobranych, opóźnione prośby o Pełny Dostęp do Dysku.
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
Nowy infostealer dla macOS o nazwie PamStealer stanowi poważne zagrożenie – i ma wyjątkowo podstępny mechanizm działania. Zamiast ślepo akceptować każde hasło wpisane przez ofiarę w fałszywym oknie dialogowym, weryfikuje je lokalnie za pomocą własnego mechanizmu Apple – Pluggable Authentication Modules (PAM). Dzięki temu atakujący otrzymują wyłącznie działające dane logowania, a nie literówki czy przypadkowe ciągi znaków. PamStealer, po raz pierwszy udokumentowany przez Jamf Threat Labs 2 lipca 2026 roku , to niepokojąca ewolucja w kradzieży danych na macOS.
Jak PamStealer infekuje ofiary przez typosquatting
Złośliwe oprogramowanie jest dystrybuowane z domeny podszywającej się pod oryginalną – – która naśladuje legalny projekt menedżera schowka Maccy. Prawdziwy Maccy jest dostępny wyłącznie z , Homebrew lub jego oficjalnego repozytorium GitHub . Legalna strona wyraźnie ostrzega użytkowników przed tymi fałszywymi kopiami .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "PamStealer: Nowy malware dla macOS, który weryfikuje hasła przez Apple PAM – jak działa i jak się bronić"?
PamStealer to dwuetapowy infostealer dla macOS wykryty przez Jamf Threat Labs 2 lipca 2026 roku.
What are the key points to validate first?
PamStealer to dwuetapowy infostealer dla macOS wykryty przez Jamf Threat Labs 2 lipca 2026 roku. Złośliwe oprogramowanie rozprzestrzenia się przez fałszywą domenę podszywającą się pod Maccy (maccyapp[.]com).
What should I do next in practice?
PamStealer kradnie hasła logowania, dane z pęku kluczy macOS, dane logowania i pliki cookie z przeglądarek, zawartość schowka oraz informacje o portfelach kryptowalut.
PamStealer: Nowy malware dla macOS, który weryfikuje hasła przez Apple PAM – jak działa i jak się bronić
PamStealer to dwuetapowy infostealer dla macOS wykryty przez Jamf Threat Labs 2 lipca 2026 roku. Złośliwe oprogramowanie rozprzestrzenia się przez fałszywą domenę podszywającą się pod Maccy (maccyapp[.]com).
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
PamStealer to dwuetapowy infostealer dla macOS wykryty przez Jamf Threat Labs 2 lipca 2026 roku.
Złośliwe oprogramowanie rozprzestrzenia się przez fałszywą domenę podszywającą się pod Maccy (maccyapp[.]com).
PamStealer kradnie hasła logowania, dane z pęku kluczy macOS, dane logowania i pliki cookie z przeglądarek, zawartość schowka oraz informacje o portfelach kryptowalut.
Wskaźniki infekcji: drugi proces Finder w Monitorze aktywności, nowe pozycje logowania z ikonami systemowymi, plik .scpt w katalogu pobranych, opóźnione prośby o Pełny Dostęp do Dysku.
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
Nowy infostealer dla macOS o nazwie PamStealer stanowi poważne zagrożenie – i ma wyjątkowo podstępny mechanizm działania. Zamiast ślepo akceptować każde hasło wpisane przez ofiarę w fałszywym oknie dialogowym, weryfikuje je lokalnie za pomocą własnego mechanizmu Apple – Pluggable Authentication Modules (PAM). Dzięki temu atakujący otrzymują wyłącznie działające dane logowania, a nie literówki czy przypadkowe ciągi znaków. PamStealer, po raz pierwszy udokumentowany przez Jamf Threat Labs 2 lipca 2026 roku , to niepokojąca ewolucja w kradzieży danych na macOS.
Jak PamStealer infekuje ofiary przez typosquatting
Złośliwe oprogramowanie jest dystrybuowane z domeny podszywającej się pod oryginalną – – która naśladuje legalny projekt menedżera schowka Maccy. Prawdziwy Maccy jest dostępny wyłącznie z , Homebrew lub jego oficjalnego repozytorium GitHub . Legalna strona wyraźnie ostrzega użytkowników przed tymi fałszywymi kopiami .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "PamStealer: Nowy malware dla macOS, który weryfikuje hasła przez Apple PAM – jak działa i jak się bronić"?
PamStealer to dwuetapowy infostealer dla macOS wykryty przez Jamf Threat Labs 2 lipca 2026 roku.
What are the key points to validate first?
PamStealer to dwuetapowy infostealer dla macOS wykryty przez Jamf Threat Labs 2 lipca 2026 roku. Złośliwe oprogramowanie rozprzestrzenia się przez fałszywą domenę podszywającą się pod Maccy (maccyapp[.]com).
What should I do next in practice?
PamStealer kradnie hasła logowania, dane z pęku kluczy macOS, dane logowania i pliki cookie z przeglądarek, zawartość schowka oraz informacje o portfelach kryptowalut.
Gdy ofiara odwiedzi fałszywą witrynę, otrzymuje obraz dysku (.dmg) zawierający skompilowany plik AppleScript o nazwie Maccy.scpt. Legalny Maccy nigdy nie był dystrybuowany jako DMG – jest dostępny tylko jako Maccy.app.zip.
Po dwukrotnym kliknięciu macOS domyślnie otwiera pliki .scpt w Script Editor. Widoczna część pliku zawiera instrukcje marki zachęcające użytkownika do naciśnięcia ⌘+R, aby "rozpocząć", podczas gdy rzeczywisty złośliwy kod jest ukryty daleko poniżej, po dużym bloku pustych linii . Tekst zawiera także greckie i cyrylickie homoglify w słowie "Maccy", aby oszukać skanery tekstowe .
Jakie dane kradnie PamStealer?
Drugi etap ataku to infostealer napisany w Rust w formacie Mach-O, który gromadzi szeroki zakres wrażliwych danych :
Hasło logowania – przechwytywane przez natywne okno dialogowe NSAlert z treścią "Maccy wants to make changes. Enter your password to allow this", a następnie weryfikowane lokalnie przez PAM (pam_start, pam_authenticate, pam_end) bez widocznej aktywności w terminalu .
Wpisy z pęku kluczy (Keychain) – ładuje Security.framework w czasie wykonania (nie w statycznej tabeli importów), aby wyciągnąć hasła z pęku kluczy macOS .
Dane logowania, pliki cookie i dane portfeli kryptowalut z przeglądarek – otwiera bazy danych logowania bezpośrednio za pomocą zintegrowanych wywołań SQLite .
Zawartość schowka – wielokrotnie uruchamia wbudowane narzędzie pbpaste, aby monitorować i kraść wszystko, co użytkownik kopiuje .
Dane chronione Pełnym Dostępem do Dysku (Full Disk Access) – jeśli użytkownik później przyzna FDA (o co malware prosi po opóźnieniu do 40 minut), chronione pliki stają się również dostępne .
Rozpoznanie portfeli kryptowalut – konfiguracja C2 zawiera punkty końcowe Ethereum JSON-RPC, a malware był obserwowany łączący się z ethereum-rpc.publicnode[.]com.
Wszystkie skradzione dane są szyfrowane algorytmem ChaCha20-Poly1305 i eksfiltrowane przez HTTPS do punktów końcowych C2 (zaobserwowane domeny: avenger-sync[.]live i avengerflow[.]com), opakowane w kopertę JSON MacOSapp1{"data":"..."}.
Wskaźniki infekcji (IOCs)
Wyzwalacze podpisywania kodu w Script Editor
Przed uruchomieniem ładunku, dropper podpisuje ad-hoc fałszywy pakiet aplikacji za pomocą codesign -fs - --deep (nie jest to legalny podpis Developer ID), a następnie uruchamia go w ukryciu, bez okna i obecności w Docku . Złośliwe oprogramowanie sprawdza również obecność narzędzi debugowania i ochrony integralności systemu (SIP) przed kontynuowaniem .
Fałszywy proces "Finder" używający pbpaste
Drugi ładunek jest umieszczany w pakiecie o nazwie Finder.app z identyfikatorem pakietu com.apple.finder.monitor i oryginalną ikoną Finder.icns skopiowaną z /System/Library/CoreServices/. Następnie uruchamia pbpaste, aby kraść dane ze schowka, więc Monitor aktywności może pokazywać drugi proces Findera wykonujący odczyty schowka – to silna anomalia .
Nowe pozycje logowania ze skopiowanymi ikonami systemowymi
Trwałość jest ustanawiana przez Login Items (a nie LaunchAgents/LaunchDaemons) przy użyciu zarówno nowoczesnego API SMAppService, jak i starszego API LSSharedFileList, z malware umieszczonym w pakietach: com.apple.finder.monitor i com.apple.security.daemon (podszywający się pod aktualizację oprogramowania) . Ponieważ panel Login Items w Ustawieniach Systemowych nie pokazuje pełnych ścieżek, malware pojawia się jako legalne wpisy systemowe .
Inne wskaźniki
Plik znacznikowy o nazwie .Maccy jest umieszczany obok przygotowanego pakietu .
Dropper wykonuje ładunek JavaScript for Automation (JXA) przez natywne interfejsy API ObjC (NSURLSession), generując mniej artefaktów związanych z tworzeniem procesów niż typowe downloadery oparte na curl/osascript.
Geolokalizacja: wykonanie jest przerywane, jeśli strefa czasowa, ustawienia regionalne, układ klawiatury lub kod kraju pasują do Rosji, Białorusi, Kazachstanu lub 8 innych krajów WNP .
Jak użytkownicy mogą się chronić
Pobieraj Maccy wyłącznie z legalnej domeny maccy.app, lub przez Homebrew / oficjalne repozytorium GitHub. Prawdziwy projekt jest open-source (licencja MIT) i prowadzony przez dewelopera Aleksieja Rodionowa (Team Identifier MN3X4648SC) .
Nigdy nie otwieraj plików .scpt w Script Editor z pobranego obrazu dysku i nie naciskaj „Uruchom”. Żadna legalna aplikacja dla macOS nie wymaga tego od Ciebie .
Dokładnie analizuj nieoczekiwane prośby o hasło administratora. Okno dialogowe PamStealer brzmi "Maccy wants to make changes" – ale prawdziwa aplikacja nie potrzebowałaby Twojego hasła do zainstalowania menedżera schowka z oficjalnego źródła .
Bądź podejrzliwy wobec opóźnionych próśb o Pełny Dostęp do Dysku. Jeśli aplikacja prosi o FDA 30–40 minut po instalacji bez wyraźnego powodu, to prawdopodobnie malware czekające, aby uniknąć przypisania .
Sprawdź Login Items w Ustawieniach Systemowych → Ogólne → Elementy logowania (Login Items) pod kątem podejrzanych wpisów nazwanych jak komponenty systemowe (np. com.apple.finder.monitor), których celowo nie dodałeś .
Monitoruj wiele procesów Findera w Monitorze aktywności, szczególnie takiego, który nie ma widocznego okna .
Gdy ofiara odwiedzi fałszywą witrynę, otrzymuje obraz dysku (.dmg) zawierający skompilowany plik AppleScript o nazwie Maccy.scpt. Legalny Maccy nigdy nie był dystrybuowany jako DMG – jest dostępny tylko jako Maccy.app.zip.
Po dwukrotnym kliknięciu macOS domyślnie otwiera pliki .scpt w Script Editor. Widoczna część pliku zawiera instrukcje marki zachęcające użytkownika do naciśnięcia ⌘+R, aby "rozpocząć", podczas gdy rzeczywisty złośliwy kod jest ukryty daleko poniżej, po dużym bloku pustych linii . Tekst zawiera także greckie i cyrylickie homoglify w słowie "Maccy", aby oszukać skanery tekstowe .
Jakie dane kradnie PamStealer?
Drugi etap ataku to infostealer napisany w Rust w formacie Mach-O, który gromadzi szeroki zakres wrażliwych danych :
Hasło logowania – przechwytywane przez natywne okno dialogowe NSAlert z treścią "Maccy wants to make changes. Enter your password to allow this", a następnie weryfikowane lokalnie przez PAM (pam_start, pam_authenticate, pam_end) bez widocznej aktywności w terminalu .
Wpisy z pęku kluczy (Keychain) – ładuje Security.framework w czasie wykonania (nie w statycznej tabeli importów), aby wyciągnąć hasła z pęku kluczy macOS .
Dane logowania, pliki cookie i dane portfeli kryptowalut z przeglądarek – otwiera bazy danych logowania bezpośrednio za pomocą zintegrowanych wywołań SQLite .
Zawartość schowka – wielokrotnie uruchamia wbudowane narzędzie pbpaste, aby monitorować i kraść wszystko, co użytkownik kopiuje .
Dane chronione Pełnym Dostępem do Dysku (Full Disk Access) – jeśli użytkownik później przyzna FDA (o co malware prosi po opóźnieniu do 40 minut), chronione pliki stają się również dostępne .
Rozpoznanie portfeli kryptowalut – konfiguracja C2 zawiera punkty końcowe Ethereum JSON-RPC, a malware był obserwowany łączący się z ethereum-rpc.publicnode[.]com.
Wszystkie skradzione dane są szyfrowane algorytmem ChaCha20-Poly1305 i eksfiltrowane przez HTTPS do punktów końcowych C2 (zaobserwowane domeny: avenger-sync[.]live i avengerflow[.]com), opakowane w kopertę JSON MacOSapp1{"data":"..."}.
Wskaźniki infekcji (IOCs)
Wyzwalacze podpisywania kodu w Script Editor
Przed uruchomieniem ładunku, dropper podpisuje ad-hoc fałszywy pakiet aplikacji za pomocą codesign -fs - --deep (nie jest to legalny podpis Developer ID), a następnie uruchamia go w ukryciu, bez okna i obecności w Docku . Złośliwe oprogramowanie sprawdza również obecność narzędzi debugowania i ochrony integralności systemu (SIP) przed kontynuowaniem .
Fałszywy proces "Finder" używający pbpaste
Drugi ładunek jest umieszczany w pakiecie o nazwie Finder.app z identyfikatorem pakietu com.apple.finder.monitor i oryginalną ikoną Finder.icns skopiowaną z /System/Library/CoreServices/. Następnie uruchamia pbpaste, aby kraść dane ze schowka, więc Monitor aktywności może pokazywać drugi proces Findera wykonujący odczyty schowka – to silna anomalia .
Nowe pozycje logowania ze skopiowanymi ikonami systemowymi
Trwałość jest ustanawiana przez Login Items (a nie LaunchAgents/LaunchDaemons) przy użyciu zarówno nowoczesnego API SMAppService, jak i starszego API LSSharedFileList, z malware umieszczonym w pakietach: com.apple.finder.monitor i com.apple.security.daemon (podszywający się pod aktualizację oprogramowania) . Ponieważ panel Login Items w Ustawieniach Systemowych nie pokazuje pełnych ścieżek, malware pojawia się jako legalne wpisy systemowe .
Inne wskaźniki
Plik znacznikowy o nazwie .Maccy jest umieszczany obok przygotowanego pakietu .
Dropper wykonuje ładunek JavaScript for Automation (JXA) przez natywne interfejsy API ObjC (NSURLSession), generując mniej artefaktów związanych z tworzeniem procesów niż typowe downloadery oparte na curl/osascript.
Geolokalizacja: wykonanie jest przerywane, jeśli strefa czasowa, ustawienia regionalne, układ klawiatury lub kod kraju pasują do Rosji, Białorusi, Kazachstanu lub 8 innych krajów WNP .
Jak użytkownicy mogą się chronić
Pobieraj Maccy wyłącznie z legalnej domeny maccy.app, lub przez Homebrew / oficjalne repozytorium GitHub. Prawdziwy projekt jest open-source (licencja MIT) i prowadzony przez dewelopera Aleksieja Rodionowa (Team Identifier MN3X4648SC) .
Nigdy nie otwieraj plików .scpt w Script Editor z pobranego obrazu dysku i nie naciskaj „Uruchom”. Żadna legalna aplikacja dla macOS nie wymaga tego od Ciebie .
Dokładnie analizuj nieoczekiwane prośby o hasło administratora. Okno dialogowe PamStealer brzmi "Maccy wants to make changes" – ale prawdziwa aplikacja nie potrzebowałaby Twojego hasła do zainstalowania menedżera schowka z oficjalnego źródła .
Bądź podejrzliwy wobec opóźnionych próśb o Pełny Dostęp do Dysku. Jeśli aplikacja prosi o FDA 30–40 minut po instalacji bez wyraźnego powodu, to prawdopodobnie malware czekające, aby uniknąć przypisania .
Sprawdź Login Items w Ustawieniach Systemowych → Ogólne → Elementy logowania (Login Items) pod kątem podejrzanych wpisów nazwanych jak komponenty systemowe (np. com.apple.finder.monitor), których celowo nie dodałeś .
Monitoruj wiele procesów Findera w Monitorze aktywności, szczególnie takiego, który nie ma widocznego okna .
jamf.comPamStealer: macOS Malware Posing as Clipboard Manager App
playtech.roPamStealer, noul malware care vânează parolele utilizatorilor de Mac: cum se ascunde într-o aplicație aparent inofensivă
maccyapp.comDownload Maccy 2.7.3 — Free Clipboard Manager for macOS
github.comGitHub - p0deje/Maccy: Lightweight clipboard manager for macOS