Как PamStealer крадет пароли macOS, используя механизмы самой Apple

Новый инфостилер для macOS получил название PamStealer — и его главная «фишка» особенно опасна. Вместо того чтобы слепо принимать любой пароль, который жертва вводит в поддельное диалоговое окно, вредонос проверяет его через собственный модуль аутентификации Apple (Pluggable Authentication Modules, PAM) перед отправкой злоумышленникам. Это означает, что атакующие получают только рабочие учетные данные, а не опечатки или подставные символы. Впервые об угрозе сообщила команда Jamf Threat Labs 2 июля 2026 года . PamStealer представляет собой тревожный шаг вперед в эволюции кражи учетных данных на macOS.

Как происходит заражение: поддельный сайт Maccy

Вредонос распространяется с подставного домена — maccyapp[.]com — который имитирует официальный проект менеджера буфера обмена Maccy. Настоящий Maccy распространяется только через maccy.app, Homebrew или официальный GitHub-репозиторий . На легитимном сайте есть явное предупреждение о мошеннических копиях .

Когда жертва заходит на поддельный сайт, ей предлагают скачать образ диска (.dmg), внутри которого находится скомпилированный файл AppleScript с именем Maccy.scpt . Настоящий Maccy никогда не распространялся в виде DMG; он поставляется только как Maccy.app.zip .

При двойном клике macOS по умолчанию открывает .scpt-файлы в Script Editor. Видимая часть файла содержит инструкцию нажать ⌘+R, чтобы «начать работу», в то время как реальный вредоносный код скрыт далеко внизу, за большим блоком пустых строк . В тексте также используются греческие и кириллические омоглифы в слове «Maccy», чтобы обмануть текстовые сканеры .

Какие данные похищает PamStealer?

Вторая стадия — Rust-based Mach-O-инфостилер, собирающий широкий спектр конфиденциальной информации :

• Пароль входа — захватывается через нативное диалоговое окно NSAlert с текстом «Maccy wants to make changes. Enter your password to allow this», затем проверяется локально через PAM (pam_start, pam_authenticate, pam_end) без видимой активности в терминале .
• Записи Keychain — загружает Security.framework во время выполнения (не в статической таблице импорта) для извлечения паролей из связки ключей macOS .
• Учетные данные, куки и данные расширений кошельков из браузеров — напрямую открывает базы данных учетных данных, используя встроенные вызовы SQLite для чтения .
• Содержимое буфера обмена — многократно запускает встроенную утилиту pbpaste для мониторинга и кражи того, что копирует пользователь .
• Цели с полным доступом к диску — если пользователь позже предоставит FDA (запрос появляется с задержкой до 40 минут), защищенные файлы также становятся доступны .
• Разведка криптовалютных кошельков — в конфигурации C2 присутствуют конечные точки Ethereum JSON-RPC, и вредонос был замечен подключающимся к ethereum-rpc.publicnode[.]com .

Все украденные данные шифруются с помощью ChaCha20-Poly1305 и отправляются по HTTPS на C2-серверы (наблюдаемые домены: avenger-sync[.]live и avengerflow[.]com), обернутые в JSON-конверт MacOSapp1{"data":"..."} .

Индикаторы заражения

Подписывание кода через Script Editor

Перед запуском полезной нагрузки дроппер подписывает поддельный пакет приложения ad-hoc командой

codesign -fs - --deep

Поддельный процесс Finder с использованием pbpaste

Полезная нагрузка второй стадии помещается в пакет с именем Finder.app и идентификатором com.apple.finder.monitor, при этом используется настоящая иконка Finder.icns, скопированная из /System/Library/CoreServices/ . Затем запускается pbpaste для кражи данных из буфера обмена, поэтому в Мониторинге системы может отображаться второй процесс Finder, выполняющий чтение буфера обмена — это сильная аномалия .

Новые элементы входа с скопированными системными иконками

Постоянство обеспечивается через Login Items (а не LaunchAgents/LaunchDaemons) с использованием как современного API SMAppService, так и устаревшего LSSharedFileList. Вредонос маскируется под компоненты системы: com.apple.finder.monitor и com.apple.security.daemon (выдавая себя за обновление ПО) . Поскольку панель Login Items в Системных настройках не показывает полные пути, вредонос выглядит как легитимная системная запись .

Другие индикаторы

• Файл-маркер с именем .Maccy сохраняется рядом с пакетом .
• Дроппер выполняет полезную нагрузку JavaScript for Automation (JXA) через нативные API ObjC (NSURLSession), что создает меньше артефактов процессов, чем типичные загрузчики на curl/osascript .
• Гео-блокировка: выполнение прерывается, если часовой пояс, локаль, раскладка клавиатуры или код страны соответствуют России, Беларуси, Казахстану или еще 8 странам СНГ .

Как защититься

• Скачивайте Maccy только с официального домена maccy.app, Homebrew или официального GitHub-репозитория. Настоящий проект — открытый (лицензия MIT), его разработчик — Алексей Родионов (Team Identifier MN3X4648SC) .
• Никогда не открывайте .scpt-файлы в Script Editor из скачанного образа диска и не нажимайте Run. Ни одно легитимное приложение для macOS не просит вас этого делать .
• Внимательно проверяйте неожиданные запросы пароля администратора. Диалог PamStealer гласит «Maccy wants to make changes» — но настоящему приложению не нужен ваш пароль для установки из официального источника .
• Насторожитесь при отложенных запросах Полного доступа к диску. Если приложение запрашивает FDA через 30–40 минут после установки без очевидной причины, это, скорее всего, вредонос, пытающийся избежать атрибуции .
• Проверьте Login Items в Системных настройках → Основные → Элементы входа на наличие подозрительных записей, названных как системные компоненты (например, com.apple.finder.monitor), которые вы не добавляли намеренно .
• Следите за несколькими процессами Finder в Мониторинге системы, особенно за тем, у которого нет видимого окна .