PamStealer macOS Virüsü: Apple’ın PAM Sistemini Kullanarak Şifreleri Nasıl Çalıyor ve Kendinizi Nasıl Korursunuz

macOS kullanıcılarını hedef alan yeni bir bilgi hırsızı (infostealer) olan PamStealer, özellikle sinsi bir yöntemle dikkat çekiyor. Sahte bir şifre giriş kutusuna kullanıcının yazdığı her şeyi körü körüne kabul etmek yerine, şifreyi Apple'ın kendi Pluggable Authentication Modules (PAM) sistemi üzerinden doğruluyor ve ardından çalıyor ^J. Bu sayede saldırganlar yalnızca çalışan, gerçek kimlik bilgilerini ele geçiriyor; yazım hatalarını veya tuzağa düşürücü sahte şifreleri ayıklıyor. Jamf Threat Labs tarafından 2 Temmuz 2026'da belgelenen PamStealer ^JP, macOS'ta kimlik bilgisi hırsızlığı konusunda endişe verici bir evrimi temsil ediyor.

PamStealer, Tipsoy (Typosquatting) Yoluyla Kullanıcılara Nasıl Bulaşıyor?

Kötü amaçlı yazılım, gerçek Maccy pano yöneticisi (clipboard manager) projesini taklit eden bir alan adı olan maccyapp[.]com üzerinden dağıtılıyor. Gerçek Maccy yalnızca maccy.app, Homebrew veya resmi GitHub deposu üzerinden edinilebiliyor ^MG. Orijinal site, kullanıcıları bu tür sahte kopya sayfalarına karşı açıkça uyarıyor ^F.

Kullanıcı sahte siteyi ziyaret ettiğinde, içinde Maccy.scpt adında derlenmiş bir AppleScript dosyası bulunan bir disk imajı (.dmg) indiriliyor ^JP. Orijinal Maccy hiçbir zaman DMG olarak dağıtılmamıştır; yalnızca Maccy.app.zip olarak sunulur ^P.

Kullanıcı bu dosyaya çift tıkladığında, macOS varsayılan olarak .scpt dosyalarını Script Editor uygulamasında açar. Dosyanın görünen kısmı, kullanıcıya "başlamak" için ⌘+R tuşlarına basmasını söyleyen markalı talimatları gösterirken, asıl kötü amaçlı kod, büyük bir boş satır bloğunun altına gizlenmiştir ^JP. Ayrıca metin, metin tabanlı tarayıcıları atlatmak için "Maccy" kelimesinde Yunan ve Kiril alfabesindeki eşsesli (homoglif) karakterler kullanır ^JF.

PamStealer Hangi Verileri Çalıyor?

İkinci aşama Rust tabanlı Mach-O bilgi hırsızı, çok çeşitli hassas verileri toplar ^J:

• Oturum açma şifresi — "Maccy değişiklik yapmak istiyor. Buna izin vermek için şifrenizi girin." yazan yerel bir NSAlert diyalogu ile ele geçirilir, ardından PAM üzerinden (pam_start, pam_authenticate, pam_end) görünür bir Terminal etkinliği olmadan doğrulanır ^J.
• Keychain girişleri — Statik içe aktarma tablosunda olmayan, çalışma zamanında Security.framework'ü yükleyerek macOS Keychain'inden şifreleri çeker ^J.
• Tarayıcı kimlik bilgileri, çerezler ve cüzdan uzantısı verileri — SQLite okuma çağrılarını kullanarak doğrudan kimlik bilgisi veritabanlarını açar ^J.
• Pano içeriği — Kullanıcının kopyaladığı her şeyi izlemek ve sızdırmak için yerleşik pbpaste yardımcı programını sürekli çalıştırır ^JF.
• Tam Disk Erişimi (FDA) hedefleri — Kullanıcı daha sonra (40 dakikaya kadar bir gecikmenin ardından) Tam Disk Erişimi izni verirse, korunan dosyalar da erişilebilir hale gelir ^F.
• Kripto para cüzdanı keşfi — C2 yapılandırması Ethereum JSON-RPC uç noktalarını içerir ve kötü amaçlı yazılımın pratikte ethereum-rpc.publicnode[.]com adresine bağlandığı gözlemlenmiştir ^J.

Çalınan tüm veriler ChaCha20-Poly1305 ile şifrelenir ve bir MacOSapp1{"data":"..."} JSON zarfına sarılarak HTTPS üzerinden C2 uç noktalarına (gözlemlenen alan adları: avenger-sync[.]live ve avengerflow[.]com) sızdırılır ^JP.

Bulaşma Göstergeleri (IOC'ler)

Script Editor Kod İmzalama Tetikleyicileri

Yükü başlatmadan önce, bırakıcı (dropper) sahte uygulama paketine codesign -fs - --deep ile geçici (ad-hoc) imza atar (bu meşru bir Geliştirici Kimliği imzası değildir) ve ardından uygulamayı pencere veya Dock varlığı olmadan gizlice başlatır ^J. Kötü amaçlı yazılım ayrıca devam etmeden önce hata ayıklama araçlarını ve Sistem Bütünlüğü Koruması'nı (SIP) kontrol eder ^F.

pbpaste Kullanan Sahte "Finder" Süreci

İkinci aşama yükü, Finder.app adlı bir paketin içine, com.apple.finder.monitor paket tanımlayıcısıyla ve /System/Library/CoreServices/ konumundan kopyalanan gerçek Finder.icns simgesiyle yerleştirilir ^JP. Ardından pano verilerini çalmak için pbpaste'i çalıştırır, bu nedenle Etkinlik Monitörü'nde pano okuma işlemi yapan ikinci bir Finder süreci görülebilir ki bu güçlü bir anormalliktir ^J.

Kopyalanmış Sistem Simgeleriyle Yeni Oturum Açma Öğeleri

Kalıcılık (persistence), hem modern SMAppService API'si hem de eski LSSharedFileList API'si kullanılarak Oturum Açma Öğeleri (Login Items) aracılığıyla sağlanır (LaunchAgents/LaunchDaemons değil). Kötü amaçlı yazılım şu isimlerle paketlenir: com.apple.finder.monitor ve com.apple.security.daemon (Yazılım Güncelleme kılığında) ^JPF. Sistem Ayarları'ndaki Oturum Açma Öğeleri bölmesi tam yolları göstermediği için kötü amaçlı yazılım meşru sistem girdileri olarak görünür ^PT.

Diğer Göstergeler

• Sahnelenen paketin yanına .Maccy adlı bir işaretleyici dosya bırakılır ^J.
• Bırakıcı, yerel ObjC API'leri (NSURLSession) aracılığıyla bir JavaScript for Automation (JXA) yükü çalıştırır; bu, tipik curl/osascript tabanlı indiricilere kıyasla daha az süreç oluşturma izi bırakır ^J.
• Coğrafi çitleme (Geo-fencing): Saat dilimi, yerel ayar, klavye düzeni veya ülke kodu Rusya, Beyaz Rusya, Kazakistan veya diğer 8 BDT ülkesiyle eşleşirse yürütme durdurulur ^JP.

Kullanıcılar Nasıl Güvende Kalabilir?

• Maccy'yi yalnızca resmi maccy.app alan adından, Homebrew üzerinden veya resmi GitHub deposundan indirin. Gerçek proje açık kaynaklıdır (MIT lisansı) ve geliştirici Alexey Rodionov (Takım Kimliği MN3X4648SC) tarafından yürütülmektedir ^JP.
• İndirilen bir disk imajındaki .scpt dosyalarını Script Editor'da asla açıp Çalıştır'a basmayın. Hiçbir meşru macOS uygulaması sizden bunu yapmanızı istemez ^JF.
• Beklenmedik yönetici şifre istemlerini sorgulayın. PamStealer'ın diyaloğu "Maccy değişiklik yapmak istiyor" yazar, ancak gerçek bir uygulamanın resmi kaynağından bir pano yöneticisi kurmak için şifrenize ihtiyacı olmaz ^J.
• Gecikmeli Tam Disk Erişimi taleplerine karşı şüpheci olun. Bir uygulama, kurulumdan 30-40 dakika sonra belirgin bir sebep olmaksızın FDA izni istiyorsa, büyük olasılıkla atıf yapmaktan kaçınmak için bekleyen bir kötü amaçlı yazılımdır ^F.
• Sistem Ayarları → Genel → Oturum Açma Öğeleri'ni kontrol ederek bilerek eklemediğiniz, sistem bileşenleri adını taşıyan (ör. com.apple.finder.monitor) şüpheli girişleri arayın ^PJ.
• Etkinlik Monitörü'nde birden fazla Finder süreci olup olmadığını izleyin, özellikle de görünür bir penceresi olmayanı ^J.