PamStealer macOS Virüsü: Apple’ın PAM Sistemini Kullanarak Şifreleri Nasıl Çalıyor ve Kendinizi Nasıl Korursunuz

Kullanıcı sahte siteyi ziyaret ettiğinde, içinde Maccy.scpt adında derlenmiş bir AppleScript dosyası bulunan bir disk imajı (.dmg) indiriliyor . Orijinal Maccy hiçbir zaman DMG olarak dağıtılmamıştır; yalnızca Maccy.app.zip olarak sunulur .

Kullanıcı bu dosyaya çift tıkladığında, macOS varsayılan olarak .scpt dosyalarını Script Editor uygulamasında açar. Dosyanın görünen kısmı, kullanıcıya "başlamak" için ⌘+R tuşlarına basmasını söyleyen markalı talimatları gösterirken, asıl kötü amaçlı kod, büyük bir boş satır bloğunun altına gizlenmiştir . Ayrıca metin, metin tabanlı tarayıcıları atlatmak için "Maccy" kelimesinde Yunan ve Kiril alfabesindeki eşsesli (homoglif) karakterler kullanır .

PamStealer Hangi Verileri Çalıyor?

İkinci aşama Rust tabanlı Mach-O bilgi hırsızı, çok çeşitli hassas verileri toplar :

• Oturum açma şifresi — "Maccy değişiklik yapmak istiyor. Buna izin vermek için şifrenizi girin." yazan yerel bir NSAlert diyalogu ile ele geçirilir, ardından PAM üzerinden (pam_start, pam_authenticate, pam_end) görünür bir Terminal etkinliği olmadan doğrulanır .
• Keychain girişleri — Statik içe aktarma tablosunda olmayan, çalışma zamanında Security.framework'ü yükleyerek macOS Keychain'inden şifreleri çeker .
• Tarayıcı kimlik bilgileri, çerezler ve cüzdan uzantısı verileri — SQLite okuma çağrılarını kullanarak doğrudan kimlik bilgisi veritabanlarını açar .
• Pano içeriği — Kullanıcının kopyaladığı her şeyi izlemek ve sızdırmak için yerleşik pbpaste yardımcı programını sürekli çalıştırır .
• Tam Disk Erişimi (FDA) hedefleri — Kullanıcı daha sonra (40 dakikaya kadar bir gecikmenin ardından) Tam Disk Erişimi izni verirse, korunan dosyalar da erişilebilir hale gelir .
• Kripto para cüzdanı keşfi — C2 yapılandırması Ethereum JSON-RPC uç noktalarını içerir ve kötü amaçlı yazılımın pratikte ethereum-rpc.publicnode[.]com adresine bağlandığı gözlemlenmiştir .

Çalınan tüm veriler ChaCha20-Poly1305 ile şifrelenir ve bir MacOSapp1{"data":"..."} JSON zarfına sarılarak HTTPS üzerinden C2 uç noktalarına (gözlemlenen alan adları: avenger-sync[.]live ve avengerflow[.]com) sızdırılır .

Bulaşma Göstergeleri (IOC'ler)

Script Editor Kod İmzalama Tetikleyicileri

Yükü başlatmadan önce, bırakıcı (dropper) sahte uygulama paketine

codesign -fs - --deep

pbpaste Kullanan Sahte "Finder" Süreci

İkinci aşama yükü, Finder.app adlı bir paketin içine, com.apple.finder.monitor paket tanımlayıcısıyla ve /System/Library/CoreServices/ konumundan kopyalanan gerçek Finder.icns simgesiyle yerleştirilir . Ardından pano verilerini çalmak için pbpaste'i çalıştırır, bu nedenle Etkinlik Monitörü'nde pano okuma işlemi yapan ikinci bir Finder süreci görülebilir ki bu güçlü bir anormalliktir .

Kopyalanmış Sistem Simgeleriyle Yeni Oturum Açma Öğeleri

Kalıcılık (persistence), hem modern SMAppService API'si hem de eski LSSharedFileList API'si kullanılarak Oturum Açma Öğeleri (Login Items) aracılığıyla sağlanır (LaunchAgents/LaunchDaemons değil). Kötü amaçlı yazılım şu isimlerle paketlenir: com.apple.finder.monitor ve com.apple.security.daemon (Yazılım Güncelleme kılığında) . Sistem Ayarları'ndaki Oturum Açma Öğeleri bölmesi tam yolları göstermediği için kötü amaçlı yazılım meşru sistem girdileri olarak görünür .

Diğer Göstergeler

• Sahnelenen paketin yanına .Maccy adlı bir işaretleyici dosya bırakılır .
• Bırakıcı, yerel ObjC API'leri (NSURLSession) aracılığıyla bir JavaScript for Automation (JXA) yükü çalıştırır; bu, tipik curl/osascript tabanlı indiricilere kıyasla daha az süreç oluşturma izi bırakır .
• Coğrafi çitleme (Geo-fencing): Saat dilimi, yerel ayar, klavye düzeni veya ülke kodu Rusya, Beyaz Rusya, Kazakistan veya diğer 8 BDT ülkesiyle eşleşirse yürütme durdurulur .

Kullanıcılar Nasıl Güvende Kalabilir?

• Maccy'yi yalnızca resmi maccy.app alan adından, Homebrew üzerinden veya resmi GitHub deposundan indirin. Gerçek proje açık kaynaklıdır (MIT lisansı) ve geliştirici Alexey Rodionov (Takım Kimliği MN3X4648SC) tarafından yürütülmektedir .
• İndirilen bir disk imajındaki .scpt dosyalarını Script Editor'da asla açıp Çalıştır'a basmayın. Hiçbir meşru macOS uygulaması sizden bunu yapmanızı istemez .
• Beklenmedik yönetici şifre istemlerini sorgulayın. PamStealer'ın diyaloğu "Maccy değişiklik yapmak istiyor" yazar, ancak gerçek bir uygulamanın resmi kaynağından bir pano yöneticisi kurmak için şifrenize ihtiyacı olmaz .
• Gecikmeli Tam Disk Erişimi taleplerine karşı şüpheci olun. Bir uygulama, kurulumdan 30-40 dakika sonra belirgin bir sebep olmaksızın FDA izni istiyorsa, büyük olasılıkla atıf yapmaktan kaçınmak için bekleyen bir kötü amaçlı yazılımdır .
• Sistem Ayarları → Genel → Oturum Açma Öğeleri'ni kontrol ederek bilerek eklemediğiniz, sistem bileşenleri adını taşıyan (ör. com.apple.finder.monitor) şüpheli girişleri arayın .
• Etkinlik Monitörü'nde birden fazla Finder süreci olup olmadığını izleyin, özellikle de görünür bir penceresi olmayanı .