PamStealer – nya macos-malwaret som använder Apples PAM för att stjäla lösenord

Ett nytt macOS-infostealer som kallas PamStealer är på frammarsch – och det har en särskilt otäck egenskap. I stället för att blint acceptera vilket lösenord som helst som offret skriver in i en falsk dialogruta validerar malwaret lösenordet mot Apples egna Pluggable Authentication Modules (PAM) innan det exfiltreras. Det innebär att angripare bara får fungerande inloggningsuppgifter, inte felstavningar eller vilseledande svar. PamStealer dokumenterades första gången av Jamf Threat Labs den 2 juli 2026 ^JP och utgör en oroande utveckling inom macOS-relaterad identitetsstöld.

Så infekterar PamStealer via typosquatting

Malwaret distribueras från en typosquat-domän – maccyapp[.]com – som är utformad för att efterlikna det legitima urklippshanterarprojektet Maccy. Den riktiga Maccy distribueras bara via maccy.app, Homebrew eller det officiella GitHub-förrådet ^MG. Den legitima webbplatsen varnar uttryckligen användare för dessa kopieringssajter ^F.

När en besökare hamnar på den falska webbplatsen laddas en diskavbildning (.dmg) ner som innehåller en kompilerad AppleScript-fil med namnet Maccy.scpt ^JP. Legitima Maccy har aldrig distribuerat en DMG; programmet levereras bara som Maccy.app.zip ^P.

När filen dubbelklickas på öppnas .scpt-filer i Script Editor som standard. Den synliga delen av filen visar instruktioner med Maccy-design som uppmanar användaren att trycka på ⌘+R för att ”komma igång”, medan den faktiska skadliga koden är gömd långt nedanför efter en stor mängd tomma rader ^JP. Texten använder också grekiska och kyrilliska homoglyfer i ordet ”Maccy” för att lura textbaserade skannrar ^JF.

Vilka data stjäl PamStealer?

Den andra fasens Rust-baserade Mach-O-infostealer samlar in ett brett spektrum av känslig data ^J:

• Inloggningslösenord – fångas via en inbyggd NSAlert-dialogruta som visar ”Maccy wants to make changes. Enter your password to allow this” och valideras sedan lokalt genom PAM (pam_start, pam_authenticate, pam_end) utan någon synlig shell-aktivitet ^J.
• Nyckelkedjeposter – laddar Security.framework under körning (inte i den statiska importtabellen) för att hämta lösenord från macOS nyckelkedja ^J.
• Webbläsaruppgifter, cookies och plånbokstilläggsdata – öppnar databaser med inloggningsuppgifter direkt med hjälp av inbyggda SQLite-anrop ^J.
• Urklippsinnehåll – kör upprepade gånger det inbyggda pbpaste-verktyget för att övervaka och exfiltrera vad användaren kopierar ^JF.
• Full Disk Access-mål – om användaren senare ger FDA (efter en fördröjning på upp till 40 minuter) blir även skyddade filer tillgängliga ^F.
• Kryptoplånboksigenkänning – C2-konfigurationen innehåller Ethereum JSON-RPC-slutpunkter och malwaret har observerats ansluta till ethereum-rpc.publicnode[.]com i praktiken ^J.

All stulen data krypteras med ChaCha20-Poly1305 och exfiltreras över HTTPS till C2-slutpunkter (observerade domäner: avenger-sync[.]live och avengerflow[.]com), inslagen i ett MacOSapp1{"data":"..."} JSON-kuvert ^JP.

Infektionsindikatorer (IOC)

Kodsigneringsutlösare i Script Editor

Innan payloaden lanseras signerar droppern det falska applikationspaketet ad hoc med codesign -fs - --deep (inte en legitim Developer ID-signatur) och startar det sedan dolt utan fönster eller Dock-närvaro ^J. Malwaret kontrollerar också efter felsökningsverktyg och System Integrity Protection innan det fortsätter ^F.

Falsk Finder-process som använder pbpaste

Den andra fasens payload placeras i ett paket med namnet Finder.app med buntidentifieraren com.apple.finder.monitor och den äkta Finder-ikonen från /System/Library/CoreServices/ ^JP. Den startar sedan pbpaste för att stjäla urklippsdata, vilket innebär att Aktivitetsövervakaren kan visa en andra Finder-process som utför urklippsläsningar – en stark avvikelse ^J.

Nya inloggningsobjekt med kopierade systemikoner

Persistens upprättas via Inloggningsobjekt (inte LaunchAgents/LaunchDaemons) med både det moderna SMAppService-API:et och det äldre LSSharedFileList-API:et. Malwaret buntas in i com.apple.finder.monitor och com.apple.security.daemon (som utger sig för att vara programuppdatering) ^JPF. Eftersom panelen för inloggningsobjekt i systeminställningarna inte visar fullständiga sökvägar framstår malwaret som legitima systemposter ^PT.

Andra indikatorer

• En markörfil med namnet .Maccy placeras bredvid det iscensatta paketet ^J.
• Droppern kör en JavaScript for Automation (JXA)-payload via inbyggda ObjC-API:er (NSURLSession), vilket ger färre processkapningsartefakter än typiska curl/osascript-baserade nedladdare ^J.
• Geografisk avgränsning: exekvering avbryts om tidszon, språk, tangentbordslayout eller landskod matchar Ryssland, Vitryssland, Kazakstan eller ytterligare 8 OSS-länder ^JP.

Så skyddar du dig

• Ladda bara ner Maccy från den legitima domänen maccy.app, eller via Homebrew / det officiella GitHub-förrådet. Det riktiga projektet är öppen källkod (MIT-licens) och drivs av utvecklaren Alexey Rodionov (Team Identifier MN3X4648SC) ^JP.
• Öppna aldrig .scpt-filer i Script Editor från en nedladdad diskavbildning och tryck på Run. Ingen legitim macOS-app ber dig göra detta ^JF.
• Granska oväntade administratörslösenordsförfrågningar. PamStealers dialogruta visar ”Maccy wants to make changes” – men en riktig app skulle inte behöva ditt lösenord för att installera en urklippshanterare från sin officiella källa ^J.
• Var misstänksam mot fördröjda Full Disk Access-förfrågningar. Om en app ber om FDA 30–40 minuter efter installation utan uppenbar anledning är det troligen malware som försöker undvika att bli kopplat till attacken ^F.
• Kontrollera inloggningsobjekt i Systeminställningar → Allmänt → Inloggningsobjekt för misstänkta poster som är namngivna efter systemkomponenter (t.ex. com.apple.finder.monitor) som du inte har lagt till medvetet ^PJ.
• Övervaka flera Finder-processer i Aktivitetsövervakaren, särskilt en som inte har ett synligt fönster ^J.