PamStealer: новий macOS-вірус, який краде паролі через Apple PAM

Коли жертва відвідує фальшивий сайт, їй пропонують завантажити образ диску (.dmg), який містить скомпільований файл AppleScript під назвою Maccy.scpt ^JP. Легітимний Maccy ніколи не поширювався у форматі DMG; він доступний лише як Maccy.app.zip ^P.

При подвійному кліку macOS за замовчуванням відкриває файли .scpt у Script Editor. Видима частина файлу містить фірмові інструкції, які пропонують користувачеві натиснути ⌘+R, щоб "розпочати", тоді як справжній шкідливий код прихований далеко внизу після великого блоку порожніх рядків ^JP. Текст також використовує грецькі та кириличні омогліфи в слові "Maccy", щоб обійти текстові сканери ^JF.

Які дані краде PamStealer?

Другий етап — Rust-завантажувач Mach-O — збирає широкий спектр конфіденційної інформації ^J:

• Пароль для входу — перехоплюється через рідне діалогове вікно NSAlert з текстом "Maccy wants to make changes. Enter your password to allow this", а потім перевіряється локально за допомогою PAM (pam_start, pam_authenticate, pam_end) без видимої активності в терміналі ^J.
• Записи Keychain — завантажує Security.framework під час виконання (не в статичній таблиці імпорту) для вилучення паролів із macOS Keychain ^J.
• Облікові дані браузера, файли cookie та дані розширень гаманців — відкриває бази даних облікових даних безпосередньо, використовуючи вбудовані виклики SQLite для читання ^J.
• Вміст буфера обміну — постійно запускає вбудовану утиліту pbpaste для моніторингу та викрадення всього, що копіює користувач ^JF.
• Цілі повного доступу до диска (FDA) — якщо користувач пізніше надасть FDA (запит з'являється із затримкою до 40 хвилин), захищені файли також стають доступними ^F.
• Розвідка криптовалютних гаманців — конфігурація C2 включає кінцеві точки Ethereum JSON-RPC, і було помічено, що зловмисне ПЗ підключається до ethereum-rpc.publicnode[.]com ^J.

Всі вкрадені дані шифруються за допомогою ChaCha20-Poly1305 та відправляються через HTTPS на C2-сервери (спостережувані домени: avenger-sync[.]live та avengerflow[.]com), запаковані в JSON-конверт MacOSapp1{"data":"..."} ^JP.

Індикатори зараження (IOC)

Тригери підпису коду в Script Editor

Перед запуском корисного навантаження дроппер підписує фальшивий пакунок програми ad-hoc за допомогою codesign -fs - --deep (не легітимний підпис Developer ID), а потім запускає його приховано, без вікна чи присутності в Dock ^J. Зловмисне ПЗ також перевіряє наявність інструментів налагодження та System Integrity Protection перед продовженням ^F.

Фальшивий процес "Finder", який використовує pbpaste

Корисне навантаження другого етапу розміщується в пакунку під назвою Finder.app з ідентифікатором пакунка com.apple.finder.monitor та справжньою іконкою Finder.icns, скопійованою з /System/Library/CoreServices/ ^JP. Потім воно запускає pbpaste для крадіжки даних буфера обміну, тому Моніторинг системи може показати другий процес Finder, який виконує читання буфера обміну — це сильна аномалія ^J.

Нові елементи входу зі скопійованими системними іконками

Постійність забезпечується через Елементи входу (Login Items), а не LaunchAgents/LaunchDaemons, з використанням як сучасного API SMAppService, так і застарілого LSSharedFileList. Зловмисне ПЗ запаковано під виглядом: com.apple.finder.monitor та com.apple.security.daemon (маскується під Оновлення програмного забезпечення) ^JPF. Оскільки панель Елементів входу в Системних налаштуваннях не показує повні шляхи, зловмисне ПЗ виглядає як легітимні системні записи ^PT.

Інші індикатори

• Файл-маркер під назвою .Maccy залишається поруч із підготовленим пакунком ^J.
• Дроппер виконує JavaScript for Automation (JXA) через рідні API ObjC (NSURLSession), що створює менше артефактів створення процесів, ніж типові завантажувачі на основі curl/osascript ^J.
• Гео-блокування: виконання переривається, якщо часовий пояс, локаль, розкладка клавіатури або код країни збігаються з Росією, Білоруссю, Казахстаном або 8 іншими країнами СНД ^JP.

Як користувачі можуть захиститися

• Завантажуйте Maccy лише з легітимного домену maccy.app, або через Homebrew / офіційний репозиторій GitHub. Справжній проєкт є відкритим (ліцензія MIT) і підтримується розробником Олексієм Родіоновим (Team Identifier MN3X4648SC) ^JP.
• Ніколи не відкривайте файли .scpt у Script Editor із завантаженого образу диска та не натискайте Run. Жодна легітимна програма macOS не просить вас це робити ^JF.
• Уважно ставтеся до неочікуваних запитів пароля адміністратора. Діалогове вікно PamStealer має текст "Maccy wants to make changes" — але справжній додаток не потребує вашого пароля для встановлення менеджера буфера обміну з офіційного джерела ^J.
• Підозріло ставтеся до відкладених запитів повного доступу до диска. Якщо додаток запитує FDA через 30–40 хвилин після встановлення без очевидної причини, це, ймовірно, зловмисне ПЗ, яке чекає, щоб уникнути атрибуції ^F.
• Перевіряйте Елементи входу в Системні налаштування → Основні → Елементи входу на наявність підозрілих записів, названих як системні компоненти (наприклад, com.apple.finder.monitor), які ви не додавали навмисно ^PJ.
• Слідкуйте за кількома процесами Finder у Моніторингу системи, особливо за тим, який не має видимого вікна ^J.