PamStealer: O malware macOS que valida senhas roubadas usando o sistema PAM da Apple

Como o PamStealer infecta vítimas através de typosquatting

O malware é distribuído a partir de um domínio de typosquatting — maccyapp[.]com — criado para se passar pelo projeto legítimo do gerenciador de área de transferência Maccy. O Maccy verdadeiro é distribuído apenas através de maccy.app, Homebrew ou seu repositório oficial no GitHub . O site legítimo avisa explicitamente os usuários sobre essas páginas falsas .

Quando a vítima visita o site falso, recebe uma imagem de disco (.dmg) contendo um arquivo AppleScript compilado chamado Maccy.scpt . O Maccy legítimo nunca distribuiu um DMG; ele é fornecido apenas como Maccy.app.zip .

Ao ser clicado duas vezes, o macOS abre arquivos .scpt no Script Editor por padrão. A parte visível do arquivo mostra instruções com a marca do aplicativo, dizendo ao usuário para pressionar ⌘+R para "começar", enquanto o código malicioso real está escondido bem abaixo, após um grande bloco de linhas em branco . O texto também usa homóglifos gregos e cirílicos na palavra "Maccy" para enganar scanners baseados em texto .

Quais dados o PamStealer rouba?

O infostealer de segundo estágio, um executável Mach-O escrito em Rust, coleta uma ampla gama de dados confidenciais :

• Senha de login — capturada através de um diálogo nativo NSAlert que diz "Maccy quer fazer alterações. Digite sua senha para permitir isso", e então validada localmente através do PAM (pam_start, pam_authenticate, pam_end) sem nenhuma atividade visível no Terminal .
• Entradas do Keychain — carrega o Security.framework em tempo de execução (não na tabela de importação estática) para extrair senhas do Keychain do macOS .
• Credenciais, cookies e dados de extensões de carteira do navegador — abre bancos de dados de credenciais diretamente usando chamadas de leitura SQLite incorporadas .
• Conteúdo da área de transferência — executa repetidamente o utilitário pbpaste para monitorar e exfiltrar tudo o que o usuário copia .
• Alvos de Acesso Total ao Disco — se o usuário conceder o Acesso Total ao Disco posteriormente (solicitado após um atraso de até 40 minutos), os arquivos protegidos também se tornam acessíveis .
• Reconhecimento de carteiras de criptomoedas — a configuração do servidor de comando e controle (C2) inclui endpoints JSON-RPC do Ethereum, e foi observado o malware se conectando a ethereum-rpc.publicnode[.]com .

Todos os dados roubados são criptografados com ChaCha20-Poly1305 e exfiltrados via HTTPS para endpoints C2 (domínios observados: avenger-sync[.]live e avengerflow[.]com), encapsulados em um envelope JSON MacOSapp1{"data":"..."} .

Indicadores de infecção (IOCs)

Gatilhos de assinatura de código no Script Editor

Antes de lançar o payload, o dropper assina ad-hoc o pacote do aplicativo falso com codesign -fs - --deep (não uma assinatura legítima de Developer ID), e então o inicia oculto, sem janela ou presença no Dock . O malware também verifica a presença de ferramentas de depuração e a Integridade do Sistema (SIP) antes de prosseguir .

Processo "Finder" falso usando pbpaste

O payload do segundo estágio é colocado dentro de um pacote chamado Finder.app com o identificador com.apple.finder.monitor e o ícone genuíno do Finder (Finder.icns) copiado de /System/Library/CoreServices/ . Em seguida, ele inicia o pbpaste para roubar dados da área de transferência, então o Monitor de Atividade pode mostrar um segundo processo do Finder realizando leituras da área de transferência — uma forte anomalia .

Novos Itens de Login com ícones copiados do sistema

A persistência é estabelecida através de Itens de Login (não LaunchAgents/LaunchDaemons) usando tanto a API moderna SMAppService quanto a API legada LSSharedFileList, com o malware incluído em: com.apple.finder.monitor e com.apple.security.daemon (disfarçado de Atualização de Software) . Como o painel de Itens de Login nas Configurações do Sistema não mostra os caminhos completos, o malware aparece como entradas legítimas do sistema .

Outros indicadores

• Um arquivo de marcação chamado .Maccy é deixado junto com o pacote preparado .
• O dropper executa um payload JavaScript for Automation (JXA) através de APIs ObjC nativas (NSURLSession), produzindo menos artefatos de criação de processo do que os downloaders típicos baseados em curl/osascript .
• Geofencing: a execução é abortada se o fuso horário, localidade, layout do teclado ou código do país corresponder à Rússia, Bielorrússia, Cazaquistão ou outros 8 países da CIS .

Como os usuários podem se proteger

• Baixe o Maccy apenas do domínio legítimo maccy.app, ou através do Homebrew / repositório oficial do GitHub. O projeto real é open-source (licença MIT) e mantido pelo desenvolvedor Alexey Rodionov (Team Identifier MN3X4648SC) .
• Nunca abra arquivos .scpt no Script Editor de uma imagem de disco baixada e pressione Executar. Nenhum aplicativo macOS legítimo pede que você faça isso .
• Desconfie de solicitações inesperadas de senha de administrador. O diálogo do PamStealer diz "Maccy quer fazer alterações" — mas um aplicativo real não precisaria da sua senha para instalar um gerenciador de área de transferência a partir de sua fonte oficial .
• Desconfie de solicitações tardias de Acesso Total ao Disco. Se um aplicativo pedir Acesso Total ao Disco 30-40 minutos após a instalação sem motivo óbvio, é provável que seja um malware esperando para evitar atribuição .
• Verifique os Itens de Login em Ajustes do Sistema → Geral → Itens de Login para entradas suspeitas nomeadas como componentes do sistema (ex.: com.apple.finder.monitor) que você não adicionou intencionalmente .
• Monitore a existência de múltiplos processos do Finder no Monitor de Atividade, especialmente um que não tenha uma janela visível .