PamStealer – nya macos-malwaret som använder Apples PAM för att stjäla lösenord

När filen dubbelklickas på öppnas .scpt-filer i Script Editor som standard. Den synliga delen av filen visar instruktioner med Maccy-design som uppmanar användaren att trycka på ⌘+R för att ”komma igång”, medan den faktiska skadliga koden är gömd långt nedanför efter en stor mängd tomma rader . Texten använder också grekiska och kyrilliska homoglyfer i ordet ”Maccy” för att lura textbaserade skannrar .

Vilka data stjäl PamStealer?

Den andra fasens Rust-baserade Mach-O-infostealer samlar in ett brett spektrum av känslig data :

• Inloggningslösenord – fångas via en inbyggd NSAlert-dialogruta som visar ”Maccy wants to make changes. Enter your password to allow this” och valideras sedan lokalt genom PAM (pam_start, pam_authenticate, pam_end) utan någon synlig shell-aktivitet .
• Nyckelkedjeposter – laddar Security.framework under körning (inte i den statiska importtabellen) för att hämta lösenord från macOS nyckelkedja .
• Webbläsaruppgifter, cookies och plånbokstilläggsdata – öppnar databaser med inloggningsuppgifter direkt med hjälp av inbyggda SQLite-anrop .
• Urklippsinnehåll – kör upprepade gånger det inbyggda pbpaste-verktyget för att övervaka och exfiltrera vad användaren kopierar .
• Full Disk Access-mål – om användaren senare ger FDA (efter en fördröjning på upp till 40 minuter) blir även skyddade filer tillgängliga .
• Kryptoplånboksigenkänning – C2-konfigurationen innehåller Ethereum JSON-RPC-slutpunkter och malwaret har observerats ansluta till ethereum-rpc.publicnode[.]com i praktiken .

All stulen data krypteras med ChaCha20-Poly1305 och exfiltreras över HTTPS till C2-slutpunkter (observerade domäner: avenger-sync[.]live och avengerflow[.]com), inslagen i ett MacOSapp1{"data":"..."} JSON-kuvert .

Infektionsindikatorer (IOC)

Kodsigneringsutlösare i Script Editor

Innan payloaden lanseras signerar droppern det falska applikationspaketet ad hoc med

codesign -fs - --deep

Falsk Finder-process som använder pbpaste

Den andra fasens payload placeras i ett paket med namnet Finder.app med buntidentifieraren com.apple.finder.monitor och den äkta Finder-ikonen från /System/Library/CoreServices/ . Den startar sedan pbpaste för att stjäla urklippsdata, vilket innebär att Aktivitetsövervakaren kan visa en andra Finder-process som utför urklippsläsningar – en stark avvikelse .

Nya inloggningsobjekt med kopierade systemikoner

Persistens upprättas via Inloggningsobjekt (inte LaunchAgents/LaunchDaemons) med både det moderna SMAppService-API:et och det äldre LSSharedFileList-API:et. Malwaret buntas in i com.apple.finder.monitor och com.apple.security.daemon (som utger sig för att vara programuppdatering) . Eftersom panelen för inloggningsobjekt i systeminställningarna inte visar fullständiga sökvägar framstår malwaret som legitima systemposter .

Andra indikatorer

• En markörfil med namnet .Maccy placeras bredvid det iscensatta paketet .
• Droppern kör en JavaScript for Automation (JXA)-payload via inbyggda ObjC-API:er (NSURLSession), vilket ger färre processkapningsartefakter än typiska curl/osascript-baserade nedladdare .
• Geografisk avgränsning: exekvering avbryts om tidszon, språk, tangentbordslayout eller landskod matchar Ryssland, Vitryssland, Kazakstan eller ytterligare 8 OSS-länder .

Så skyddar du dig

• Ladda bara ner Maccy från den legitima domänen maccy.app, eller via Homebrew / det officiella GitHub-förrådet. Det riktiga projektet är öppen källkod (MIT-licens) och drivs av utvecklaren Alexey Rodionov (Team Identifier MN3X4648SC) .
• Öppna aldrig .scpt-filer i Script Editor från en nedladdad diskavbildning och tryck på Run. Ingen legitim macOS-app ber dig göra detta .
• Granska oväntade administratörslösenordsförfrågningar. PamStealers dialogruta visar ”Maccy wants to make changes” – men en riktig app skulle inte behöva ditt lösenord för att installera en urklippshanterare från sin officiella källa .
• Var misstänksam mot fördröjda Full Disk Access-förfrågningar. Om en app ber om FDA 30–40 minuter efter installation utan uppenbar anledning är det troligen malware som försöker undvika att bli kopplat till attacken .
• Kontrollera inloggningsobjekt i Systeminställningar → Allmänt → Inloggningsobjekt för misstänkta poster som är namngivna efter systemkomponenter (t.ex. com.apple.finder.monitor) som du inte har lagt till medvetet .
• Övervaka flera Finder-processer i Aktivitetsövervakaren, särskilt en som inte har ett synligt fönster .