Зловмисне програмне забезпечення поширюється з домену-тайпсквотера — maccyapp[.]com, який створений для імітації офіційного проєкту менеджера буфера обміну Maccy. Справжній Maccy поширюється лише з maccy.app, Homebrew або його офіційного репозиторію на GitHub . На легітимному сайті є чітке попередження про такі підроблені сторінки .

Коли жертва відвідує фальшивий сайт, їй пропонують завантажити образ диску (.dmg), який містить скомпільований файл AppleScript під назвою Maccy.scpt . Легітимний Maccy ніколи не поширювався у форматі DMG; він доступний лише як Maccy.app.zip .

При подвійному кліку macOS за замовчуванням відкриває файли .scpt у Script Editor. Видима частина файлу містить фірмові інструкції, які пропонують користувачеві натиснути ⌘+R, щоб "розпочати", тоді як справжній шкідливий код прихований далеко внизу після великого блоку порожніх рядків . Текст також використовує грецькі та кириличні омогліфи в слові "Maccy", щоб обійти текстові сканери .

Які дані краде PamStealer?

Другий етап — Rust-завантажувач Mach-O — збирає широкий спектр конфіденційної інформації :

• Пароль для входу — перехоплюється через рідне діалогове вікно NSAlert з текстом "Maccy wants to make changes. Enter your password to allow this", а потім перевіряється локально за допомогою PAM (pam_start, pam_authenticate, pam_end) без видимої активності в терміналі .
• Записи Keychain — завантажує Security.framework під час виконання (не в статичній таблиці імпорту) для вилучення паролів із macOS Keychain .
• Облікові дані браузера, файли cookie та дані розширень гаманців — відкриває бази даних облікових даних безпосередньо, використовуючи вбудовані виклики SQLite для читання .
• Вміст буфера обміну — постійно запускає вбудовану утиліту pbpaste для моніторингу та викрадення всього, що копіює користувач .
• Цілі повного доступу до диска (FDA) — якщо користувач пізніше надасть FDA (запит з'являється із затримкою до 40 хвилин), захищені файли також стають доступними .
• Розвідка криптовалютних гаманців — конфігурація C2 включає кінцеві точки Ethereum JSON-RPC, і було помічено, що зловмисне ПЗ підключається до ethereum-rpc.publicnode[.]com .

Всі вкрадені дані шифруються за допомогою ChaCha20-Poly1305 та відправляються через HTTPS на C2-сервери (спостережувані домени: avenger-sync[.]live та avengerflow[.]com), запаковані в JSON-конверт MacOSapp1{"data":"..."} .

Індикатори зараження (IOC)

Тригери підпису коду в Script Editor

Перед запуском корисного навантаження дроппер підписує фальшивий пакунок програми ad-hoc за допомогою codesign -fs - --deep (не легітимний підпис Developer ID), а потім запускає його приховано, без вікна чи присутності в Dock . Зловмисне ПЗ також перевіряє наявність інструментів налагодження та System Integrity Protection перед продовженням .

Фальшивий процес "Finder", який використовує pbpaste

Корисне навантаження другого етапу розміщується в пакунку під назвою Finder.app з ідентифікатором пакунка com.apple.finder.monitor та справжньою іконкою Finder.icns, скопійованою з /System/Library/CoreServices/ . Потім воно запускає pbpaste для крадіжки даних буфера обміну, тому Моніторинг системи може показати другий процес Finder, який виконує читання буфера обміну — це сильна аномалія .

Нові елементи входу зі скопійованими системними іконками

Постійність забезпечується через Елементи входу (Login Items), а не LaunchAgents/LaunchDaemons, з використанням як сучасного API SMAppService, так і застарілого LSSharedFileList. Зловмисне ПЗ запаковано під виглядом: com.apple.finder.monitor та com.apple.security.daemon (маскується під Оновлення програмного забезпечення) . Оскільки панель Елементів входу в Системних налаштуваннях не показує повні шляхи, зловмисне ПЗ виглядає як легітимні системні записи .

Інші індикатори

• Файл-маркер під назвою .Maccy залишається поруч із підготовленим пакунком .
• Дроппер виконує JavaScript for Automation (JXA) через рідні API ObjC (NSURLSession), що створює менше артефактів створення процесів, ніж типові завантажувачі на основі curl/osascript .
• Гео-блокування: виконання переривається, якщо часовий пояс, локаль, розкладка клавіатури або код країни збігаються з Росією, Білоруссю, Казахстаном або 8 іншими країнами СНД .

Як користувачі можуть захиститися

• Завантажуйте Maccy лише з легітимного домену maccy.app, або через Homebrew / офіційний репозиторій GitHub. Справжній проєкт є відкритим (ліцензія MIT) і підтримується розробником Олексієм Родіоновим (Team Identifier MN3X4648SC) .
• Ніколи не відкривайте файли .scpt у Script Editor із завантаженого образу диска та не натискайте Run. Жодна легітимна програма macOS не просить вас це робити .
• Уважно ставтеся до неочікуваних запитів пароля адміністратора. Діалогове вікно PamStealer має текст "Maccy wants to make changes" — але справжній додаток не потребує вашого пароля для встановлення менеджера буфера обміну з офіційного джерела .
• Підозріло ставтеся до відкладених запитів повного доступу до диска. Якщо додаток запитує FDA через 30–40 хвилин після встановлення без очевидної причини, це, ймовірно, зловмисне ПЗ, яке чекає, щоб уникнути атрибуції .
• Перевіряйте Елементи входу в Системні налаштування → Основні → Елементи входу на наявність підозрілих записів, названих як системні компоненти (наприклад, com.apple.finder.monitor), які ви не додавали навмисно .
• Слідкуйте за кількома процесами Finder у Моніторингу системи, особливо за тим, який не має видимого вікна .

Зловмисне програмне забезпечення поширюється з домену-тайпсквотера — maccyapp[.]com, який створений для імітації офіційного проєкту менеджера буфера обміну Maccy. Справжній Maccy поширюється лише з maccy.app, Homebrew або його офіційного репозиторію на GitHub . На легітимному сайті є чітке попередження про такі підроблені сторінки .

Коли жертва відвідує фальшивий сайт, їй пропонують завантажити образ диску (.dmg), який містить скомпільований файл AppleScript під назвою Maccy.scpt . Легітимний Maccy ніколи не поширювався у форматі DMG; він доступний лише як Maccy.app.zip .

При подвійному кліку macOS за замовчуванням відкриває файли .scpt у Script Editor. Видима частина файлу містить фірмові інструкції, які пропонують користувачеві натиснути ⌘+R, щоб "розпочати", тоді як справжній шкідливий код прихований далеко внизу після великого блоку порожніх рядків . Текст також використовує грецькі та кириличні омогліфи в слові "Maccy", щоб обійти текстові сканери .

Які дані краде PamStealer?

Другий етап — Rust-завантажувач Mach-O — збирає широкий спектр конфіденційної інформації :

• Пароль для входу — перехоплюється через рідне діалогове вікно NSAlert з текстом "Maccy wants to make changes. Enter your password to allow this", а потім перевіряється локально за допомогою PAM (pam_start, pam_authenticate, pam_end) без видимої активності в терміналі .
• Записи Keychain — завантажує Security.framework під час виконання (не в статичній таблиці імпорту) для вилучення паролів із macOS Keychain .
• Облікові дані браузера, файли cookie та дані розширень гаманців — відкриває бази даних облікових даних безпосередньо, використовуючи вбудовані виклики SQLite для читання .
• Вміст буфера обміну — постійно запускає вбудовану утиліту pbpaste для моніторингу та викрадення всього, що копіює користувач .
• Цілі повного доступу до диска (FDA) — якщо користувач пізніше надасть FDA (запит з'являється із затримкою до 40 хвилин), захищені файли також стають доступними .
• Розвідка криптовалютних гаманців — конфігурація C2 включає кінцеві точки Ethereum JSON-RPC, і було помічено, що зловмисне ПЗ підключається до ethereum-rpc.publicnode[.]com .

Всі вкрадені дані шифруються за допомогою ChaCha20-Poly1305 та відправляються через HTTPS на C2-сервери (спостережувані домени: avenger-sync[.]live та avengerflow[.]com), запаковані в JSON-конверт MacOSapp1{"data":"..."} .

Індикатори зараження (IOC)

Тригери підпису коду в Script Editor

Перед запуском корисного навантаження дроппер підписує фальшивий пакунок програми ad-hoc за допомогою codesign -fs - --deep (не легітимний підпис Developer ID), а потім запускає його приховано, без вікна чи присутності в Dock . Зловмисне ПЗ також перевіряє наявність інструментів налагодження та System Integrity Protection перед продовженням .

Фальшивий процес "Finder", який використовує pbpaste

Корисне навантаження другого етапу розміщується в пакунку під назвою Finder.app з ідентифікатором пакунка com.apple.finder.monitor та справжньою іконкою Finder.icns, скопійованою з /System/Library/CoreServices/ . Потім воно запускає pbpaste для крадіжки даних буфера обміну, тому Моніторинг системи може показати другий процес Finder, який виконує читання буфера обміну — це сильна аномалія .

Нові елементи входу зі скопійованими системними іконками

Постійність забезпечується через Елементи входу (Login Items), а не LaunchAgents/LaunchDaemons, з використанням як сучасного API SMAppService, так і застарілого LSSharedFileList. Зловмисне ПЗ запаковано під виглядом: com.apple.finder.monitor та com.apple.security.daemon (маскується під Оновлення програмного забезпечення) . Оскільки панель Елементів входу в Системних налаштуваннях не показує повні шляхи, зловмисне ПЗ виглядає як легітимні системні записи .

Інші індикатори

• Файл-маркер під назвою .Maccy залишається поруч із підготовленим пакунком .
• Дроппер виконує JavaScript for Automation (JXA) через рідні API ObjC (NSURLSession), що створює менше артефактів створення процесів, ніж типові завантажувачі на основі curl/osascript .
• Гео-блокування: виконання переривається, якщо часовий пояс, локаль, розкладка клавіатури або код країни збігаються з Росією, Білоруссю, Казахстаном або 8 іншими країнами СНД .

Як користувачі можуть захиститися

• Завантажуйте Maccy лише з легітимного домену maccy.app, або через Homebrew / офіційний репозиторій GitHub. Справжній проєкт є відкритим (ліцензія MIT) і підтримується розробником Олексієм Родіоновим (Team Identifier MN3X4648SC) .
• Ніколи не відкривайте файли .scpt у Script Editor із завантаженого образу диска та не натискайте Run. Жодна легітимна програма macOS не просить вас це робити .
• Уважно ставтеся до неочікуваних запитів пароля адміністратора. Діалогове вікно PamStealer має текст "Maccy wants to make changes" — але справжній додаток не потребує вашого пароля для встановлення менеджера буфера обміну з офіційного джерела .
• Підозріло ставтеся до відкладених запитів повного доступу до диска. Якщо додаток запитує FDA через 30–40 хвилин після встановлення без очевидної причини, це, ймовірно, зловмисне ПЗ, яке чекає, щоб уникнути атрибуції .
• Перевіряйте Елементи входу в Системні налаштування → Основні → Елементи входу на наявність підозрілих записів, названих як системні компоненти (наприклад, com.apple.finder.monitor), які ви не додавали навмисно .
• Слідкуйте за кількома процесами Finder у Моніторингу системи, особливо за тим, який не має видимого вікна .