PamStealer มัลแวร์ขโมยรหัสผ่าน macOS รายล่าสุด ใช้ประโยชน์จากระบบ PAM เพื่อยืนยันรหัสผ่านจริงก่อนขโมย และปลอมตัวเป็นแอป Maccy

เมื่อเหยื่อเข้าไปที่เว็บไซต์ปลอม พวกเขาจะถูกให้ดาวน์โหลดไฟล์ดิสก์อิมเมจ (.dmg) ซึ่งภายในมีไฟล์ AppleScript ที่ถูกคอมไพล์ชื่อ Maccy.scpt โดยที่ Maccy ของแท้นั้นไม่เคยแจกจ่ายผ่าน DMG มันมีแต่ไฟล์ Maccy.app.zip เท่านั้น

เมื่อดับเบิลคลิก macOS จะเปิดไฟล์ .scpt ใน Script Editor ตามค่าเริ่มต้น ซึ่งส่วนที่เห็นได้ของไฟล์จะแสดงคำแนะนำที่มีตราสินค้าหลอกให้ผู้ใช้กด ⌘+R เพื่อ "เริ่มต้น" ในขณะที่โค้ดอันตรายจริงๆ ถูกซ่อนไว้อยู่ด้านล่างหลังจากบรรทัดว่างๆ จำนวนมาก นอกจากนี้ ข้อความยังใช้อักษรกรีกและซีริลลิกที่คล้ายคลึงกันในคำว่า "Maccy" เพื่อหลบเลี่ยงโปรแกรมสแกนข้อความ

ข้อมูลใดบ้างที่ PamStealer ขโมย

เพย์โหลดระยะที่สองซึ่งเขียนด้วยภาษา Rust (Mach-O infostealer) สามารถเก็บข้อมูลที่ละเอียดอ่อนได้หลากหลาย :

• รหัสผ่านล็อกอิน — ถูกจับผ่านกล่องโต้ตอบ NSAlert ที่มีข้อความว่า "Maccy ต้องการทำการเปลี่ยนแปลง กรุณาใส่รหัสผ่านของคุณ" จากนั้นจะถูกตรวจสอบภายในเครื่องผ่าน PAM (pam_start, pam_authenticate, pam_end) โดยไม่มีการทำงานบน Terminal ให้เห็น
• รายการ Keychain — โหลด Security.framework ในขณะรันไทม์ (ไม่ได้อยู่ในตาราง static import) เพื่อดึงรหัสผ่านจาก Keychain ของ macOS
• ข้อมูลประจำตัว คุกกี้ และข้อมูลส่วนขยายกระเป๋าเงินจากเบราว์เซอร์ — เปิดฐานข้อมูลโดยตรงโดยใช้คำสั่ง SQLite ในตัว
• เนื้อหาคลิปบอร์ด — รันยูทิลิตี้ pbpaste ในตัวซ้ำๆ เพื่อตรวจสอบและขโมยทุกอย่างที่ผู้ใช้คัดลอก
• เป้าหมายที่ต้องใช้สิทธิ์ Full Disk Access (FDA) — หากผู้ใช้ให้สิทธิ์ FDA ในภายหลัง (ซึ่งจะถูกขอหลังจากรอประมาณ 40 นาที) ไฟล์ที่ได้รับการป้องกันก็จะถูกขโมยได้เช่นกัน
• ข้อมูลกระเป๋าคริปโตเคอเรนซี — การกำหนดค่า C2 รวมถึง Ethereum JSON-RPC endpoints และพบว่ามัลแวร์เชื่อมต่อไปยัง ethereum-rpc.publicnode[.]com จริง

ข้อมูลที่ถูกขโมยทั้งหมดจะถูกเข้ารหัสด้วย ChaCha20-Poly1305 และส่งออกผ่าน HTTPS ไปยัง C2 endpoints (โดเมนที่พบ: avenger-sync[.]live และ avengerflow[.]com) โดยห่อหุ้มในรูปแบบ JSON envelope MacOSapp1{"data":"..."}

ตัวบ่งชี้การติดเชื้อ (IOCs)

ทริกเกอร์การเซ็นโค้ดผ่าน Script Editor

ก่อนที่จะเรียกใช้เพย์โหลด ตัวดรอปเปอร์จะเซ็นโค้ด (ad-hoc sign) บันเดิลแอปพลิเคชันปลอมด้วยคำสั่ง

codesign -fs - --deep

กระบวนการ "Finder" ปลอมที่ใช้ pbpaste

เพย์โหลดระยะที่สองจะถูกวางไว้ในบันเดิลชื่อ Finder.app โดยมี bundle identifier เป็น com.apple.finder.monitor และไอคอน Finder.icns จริงที่ถูกคัดลอกมาจาก /System/Library/CoreServices/ จากนั้นมันจะเรียกใช้ pbpaste เพื่อขโมยข้อมูลคลิปบอร์ด ดังนั้น Activity Monitor อาจแสดง กระบวนการ Finder ที่สอง ที่กำลังอ่านคลิปบอร์ด ซึ่งเป็นความผิดปกติที่ชัดเจน

รายการ Login Items ใหม่ที่ใช้ไอคอนระบบ

การคงอยู่ (persistence) ถูกสร้างผ่าน Login Items (ไม่ใช่ LaunchAgents/LaunchDaemons) โดยใช้ทั้ง API ใหม่ SMAppService และ API เก่า LSSharedFileList โดยมัลแวร์ถูกบรรจุไว้ใน: com.apple.finder.monitor และ com.apple.security.daemon (ปลอมตัวเป็น Software Update) เนื่องจากแผง Login Items ใน System Settings ไม่แสดงเส้นทางแบบเต็ม มัลแวร์จึงดูเหมือนเป็นรายการระบบที่ถูกต้อง

ตัวบ่งชี้อื่นๆ

• ไฟล์มาร์กเกอร์ชื่อ .Maccy ถูกวางไว้ข้างๆ บันเดิลที่ถูกจัดเตรียม
• ตัวดรอปเปอร์รันเพย์โหลด JavaScript for Automation (JXA) ผ่าน ObjC APIs ดั้งเดิม (NSURLSession) ทำให้เกิดอาร์ติแฟกต์ของกระบวนการน้อยกว่าตัวดาวน์โหลดทั่วไปที่ใช้ curl/osascript
• Geo-fencing: การทำงานจะถูกยกเลิกหากโซนเวลา ตำแหน่งที่ตั้ง รูปแบบแป้นพิมพ์ หรือรหัสประเทศตรงกับรัสเซีย เบลารุส คาซัคสถาน หรืออีก 8 ประเทศ CIS

วิธีป้องกันตัวสำหรับผู้ใช้

• ดาวน์โหลด Maccy จากโดเมนทางการ maccy.app เท่านั้น หรือผ่าน Homebrew / GitHub repository อย่างเป็นทางการ โปรเจ็กต์จริงเป็นโอเพนซอร์ส (สัญญาอนุญาต MIT) และพัฒนาโดยนักพัฒนา Alexey Rodionov (Team Identifier MN3X4648SC)
• ห้ามเปิดไฟล์ .scpt ใน Script Editor จากดิสก์อิมเมจที่ดาวน์โหลดมาแล้วกด Run ไม่มีแอป macOS ที่ถูกต้องใดๆ ขอให้คุณทำแบบนี้
• ตรวจสอบป๊อปอัปขอรหัสผ่านผู้ดูแลระบบที่ไม่คาดคิด กล่องโต้ตอบของ PamStealer ขึ้นว่า "Maccy ต้องการทำการเปลี่ยนแปลง" แต่แอปจริงๆ ไม่จำเป็นต้องใช้รหัสผ่านของคุณเพื่อติดตั้งแอปจัดการคลิปบอร์ดจากแหล่งที่มาอย่างเป็นทางการ
• สงสัยคำขอสิทธิ์ Full Disk Access ที่เกิดขึ้นหลังจากนั้น หากแอปขอ FDA หลังติดตั้งไปแล้ว 30-40 นาทีโดยไม่มีเหตุผลชัดเจน นั่นคือมัลแวร์ที่กำลังรอเวลาเพื่อหลบเลี่ยงการถูกระบุตัวตน
• ตรวจสอบ Login Items ใน System Settings → General → Login Items สำหรับรายการที่น่าสงสัยที่ตั้งชื่อตามส่วนประกอบของระบบ (เช่น com.apple.finder.monitor) ที่คุณไม่ได้เพิ่มเอง
• สังเกตกระบวนการ Finder หลายตัว ใน Activity Monitor โดยเฉพาะตัวที่ไม่มีหน้าต่างให้เห็น