PamStealer: новий macOS-вірус, який краде паролі через Apple PAM

Нова загроза для користувачів macOS — зловмисне програмне забезпечення PamStealer — поширюється мережею, і воно має особливо підступний механізм. Замість того, щоб сліпо приймати будь-який пароль, який жертва вводить у підроблене діалогове вікно, цей вірус перевіряє його за допомогою власних Pluggable Authentication Modules (PAM) від Apple, перш ніж викрасти. Таким чином, зловмисники отримують лише робочі облікові дані, а не помилки чи фальшивки. Вперше задокументований Jamf Threat Labs 2 липня 2026 року , PamStealer є тривожною еволюцією в крадіжці облікових даних на macOS.

Як PamStealer заражає жертв через тайпсквоттинг

Зловмисне програмне забезпечення поширюється з домену-тайпсквотера — maccyapp[.]com, який створений для імітації офіційного проєкту менеджера буфера обміну Maccy. Справжній Maccy поширюється лише з maccy.app, Homebrew або його офіційного репозиторію на GitHub . На легітимному сайті є чітке попередження про такі підроблені сторінки .

Коли жертва відвідує фальшивий сайт, їй пропонують завантажити образ диску (.dmg), який містить скомпільований файл AppleScript під назвою Maccy.scpt . Легітимний Maccy ніколи не поширювався у форматі DMG; він доступний лише як Maccy.app.zip .

При подвійному кліку macOS за замовчуванням відкриває файли .scpt у Script Editor. Видима частина файлу містить фірмові інструкції, які пропонують користувачеві натиснути ⌘+R, щоб "розпочати", тоді як справжній шкідливий код прихований далеко внизу після великого блоку порожніх рядків . Текст також використовує грецькі та кириличні омогліфи в слові "Maccy", щоб обійти текстові сканери .

Які дані краде PamStealer?

Другий етап — Rust-завантажувач Mach-O — збирає широкий спектр конфіденційної інформації :

• Пароль для входу — перехоплюється через рідне діалогове вікно NSAlert з текстом "Maccy wants to make changes. Enter your password to allow this", а потім перевіряється локально за допомогою PAM (pam_start, pam_authenticate, pam_end) без видимої активності в терміналі .
• Записи Keychain — завантажує Security.framework під час виконання (не в статичній таблиці імпорту) для вилучення паролів із macOS Keychain .
• Облікові дані браузера, файли cookie та дані розширень гаманців — відкриває бази даних облікових даних безпосередньо, використовуючи вбудовані виклики SQLite для читання .
• Вміст буфера обміну — постійно запускає вбудовану утиліту pbpaste для моніторингу та викрадення всього, що копіює користувач .

Всі вкрадені дані шифруються за допомогою ChaCha20-Poly1305 та відправляються через HTTPS на C2-сервери (спостережувані домени: avenger-sync[.]live та avengerflow[.]com), запаковані в JSON-конверт MacOSapp1{"data":"..."} .

Індикатори зараження (IOC)

Тригери підпису коду в Script Editor

Перед запуском корисного навантаження дроппер підписує фальшивий пакунок програми ad-hoc за допомогою

codesign -fs - --deep

Фальшивий процес "Finder", який використовує pbpaste

Корисне навантаження другого етапу розміщується в пакунку під назвою Finder.app з ідентифікатором пакунка com.apple.finder.monitor та справжньою іконкою Finder.icns, скопійованою з /System/Library/CoreServices/ . Потім воно запускає pbpaste для крадіжки даних буфера обміну, тому Моніторинг системи може показати другий процес Finder, який виконує читання буфера обміну — це сильна аномалія .

Нові елементи входу зі скопійованими системними іконками

Постійність забезпечується через Елементи входу (Login Items), а не LaunchAgents/LaunchDaemons, з використанням як сучасного API SMAppService, так і застарілого LSSharedFileList. Зловмисне ПЗ запаковано під виглядом: com.apple.finder.monitor та com.apple.security.daemon (маскується під Оновлення програмного забезпечення) . Оскільки панель Елементів входу в Системних налаштуваннях не показує повні шляхи, зловмисне ПЗ виглядає як легітимні системні записи .

Інші індикатори

• Файл-маркер під назвою .Maccy залишається поруч із підготовленим пакунком .
• Дроппер виконує JavaScript for Automation (JXA) через рідні API ObjC (NSURLSession), що створює менше артефактів створення процесів, ніж типові завантажувачі на основі curl/osascript .
• Гео-блокування: виконання переривається, якщо часовий пояс, локаль, розкладка клавіатури або код країни збігаються з Росією, Білоруссю, Казахстаном або 8 іншими країнами СНД .

Як користувачі можуть захиститися

• Завантажуйте Maccy лише з легітимного домену maccy.app, або через Homebrew / офіційний репозиторій GitHub. Справжній проєкт є відкритим (ліцензія MIT) і підтримується розробником Олексієм Родіоновим (Team Identifier MN3X4648SC) .
• Ніколи не відкривайте файли .scpt у Script Editor із завантаженого образу диска та не натискайте Run. Жодна легітимна програма macOS не просить вас це робити .
• Уважно ставтеся до неочікуваних запитів пароля адміністратора. Діалогове вікно PamStealer має текст "Maccy wants to make changes" — але справжній додаток не потребує вашого пароля для встановлення менеджера буфера обміну з офіційного джерела .
• Підозріло ставтеся до відкладених запитів повного доступу до диска. Якщо додаток запитує FDA через 30–40 хвилин після встановлення без очевидної причини, це, ймовірно, зловмисне ПЗ, яке чекає, щоб уникнути атрибуції .