PamStealer: Malware macOS mới đánh cắp mật khẩu bằng chính công cụ bảo mật của Apple

Khi nhấp đúp, macOS sẽ mở file .scpt trong Script Editor theo thiết kế mặc định. Phần hiển thị của file đưa ra các hướng dẫn có thương hiệu, yêu cầu người dùng nhấn ⌘+R để "bắt đầu", trong khi mã độc thực sự được ẩn ở phía dưới sau một khối lớn các dòng trống . Văn bản này còn sử dụng các ký tự đồng âm (homoglyphs) từ bảng chữ cái Hy Lạp và Cyrillic trong từ "Maccy" để qua mặt các công cụ quét dựa trên văn bản .

PamStealer đánh cắp những dữ liệu gì?

Phần mềm đánh cắp thông tin giai đoạn hai được viết bằng Rust (dạng Mach-O) thu thập một loạt dữ liệu nhạy cảm :

• Mật khẩu đăng nhập — được lấy qua một hộp thoại NSAlert gốc với dòng chữ "Maccy wants to make changes. Enter your password to allow this," sau đó được xác thực cục bộ thông qua PAM (pam_start, pam_authenticate, pam_end) mà không có bất kỳ hoạt động shell nào hiển thị .
• Keychain entries — tải Security.framework trong thời gian chạy (không có trong bảng import tĩnh) để rút mật khẩu từ Keychain của macOS .
• Thông tin trình duyệt, cookie và dữ liệu tiện ích mở rộng ví — mở trực tiếp các cơ sở dữ liệu thông tin đăng nhập bằng các lệnh gọi SQLite được tích hợp sẵn .
• Nội dung Clipboard — liên tục chạy tiện ích pbpaste tích hợp sẵn để theo dõi và đánh cắp bất cứ thứ gì người dùng sao chép .
• Mục tiêu Toàn quyền Truy cập Đĩa (Full Disk Access - FDA) — nếu người dùng sau đó cấp FDA (được nhắc sau một khoảng thời gian trễ lên tới 40 phút), các tệp được bảo vệ cũng sẽ bị truy cập .
• Trinh sát ví tiền điện tử — cấu hình C2 bao gồm các điểm cuối JSON-RPC của Ethereum, và malware đã được ghi nhận là kết nối tới ethereum-rpc.publicnode[.]com trong thực tế .

Tất cả dữ liệu bị đánh cắp đều được mã hóa bằng ChaCha20-Poly1305 và gửi qua HTTPS đến các máy chủ C2 (tên miền đã được ghi nhận: avenger-sync[.]live và avengerflow[.]com), được bọc trong một cấu trúc JSON MacOSapp1{"data":"..."} .

Các dấu hiệu nhiễm bệnh (IOCs)

Kích hoạt ký mã của Script Editor

Trước khi khởi chạy tải trọng, dropper ký ad-hoc lên gói ứng dụng giả mạo bằng

codesign -fs - --deep

Tiến trình "Finder" giả mạo sử dụng pbpaste

Tải trọng giai đoạn hai được đặt bên trong một gói có tên Finder.app với mã định danh gói com.apple.finder.monitor và biểu tượng Finder.icns thật được sao chép từ /System/Library/CoreServices/ . Sau đó, nó tạo ra tiến trình pbpaste để đánh cắp dữ liệu clipboard. Do đó, Activity Monitor có thể hiển thị một tiến trình Finder thứ hai đang thực hiện các thao tác đọc clipboard – một điểm bất thường mạnh mẽ .

Các mục Đăng nhập Mới với Biểu tượng Hệ thống Bị Sao chép

Cơ chế tồn tại (persistence) được thiết lập thông qua Login Items (không phải LaunchAgents/LaunchDaemons) bằng cách sử dụng cả API SMAppService hiện đại và API LSSharedFileList kế thừa, với malware được đóng gói bên trong: com.apple.finder.monitor và com.apple.security.daemon (giả dạng Cập nhật Phần mềm) . Vì ngăn Login Items trong Cài đặt Hệ thống không hiển thị đường dẫn đầy đủ, malware sẽ xuất hiện như các mục hệ thống hợp pháp .

Các Chỉ số Khác

• Một tệp đánh dấu có tên .Maccy được thả cùng với gói đã được phân đoạn .
• Dropper thực thi tải trọng JavaScript for Automation (JXA) thông qua các API ObjC gốc (NSURLSession), tạo ra ít tạo tác tiến trình hơn so với các bộ tải xuống thông thường dùng curl/osascript .
• Chặn địa lý (Geo-fencing): quá trình thực thi bị hủy bỏ nếu múi giờ, ngôn ngữ, bố cục bàn phím hoặc mã quốc gia khớp với Nga, Belarus, Kazakhstan hoặc 8 quốc gia CIS khác .

Người dùng có thể tự bảo vệ như thế nào?

• Chỉ tải Maccy từ tên miền hợp pháp maccy.app, hoặc qua Homebrew/kho GitHub chính thức. Dự án thật là mã nguồn mở (giấy phép MIT) và được điều hành bởi nhà phát triển Alexey Rodionov (Mã định danh Nhóm MN3X4648SC) .
• Không bao giờ mở tệp .scpt trong Script Editor từ một ảnh đĩa đã tải xuống và nhấn Run. Không có ứng dụng macOS hợp pháp nào yêu cầu bạn làm điều này .
• Xem xét kỹ lưỡng các lời nhắc nhập mật khẩu quản trị viên bất ngờ. Hộp thoại của PamStealer có nội dung "Maccy wants to make changes" — nhưng một ứng dụng thực sự sẽ không cần mật khẩu của bạn để cài đặt trình quản lý clipboard từ nguồn chính thức của nó .
• Cảnh giác với các yêu cầu Toàn quyền Truy cập Đĩa (FDA) bị trì hoãn. Nếu một ứng dụng yêu cầu FDA từ 30–40 phút sau khi cài đặt mà không có lý do rõ ràng, rất có thể đó là malware đang chờ thời gian để tránh bị phát hiện .
• Kiểm tra mục Login Items trong System Settings → General → Login Items xem có mục nhập đáng ngờ nào mang tên các thành phần hệ thống (ví dụ: com.apple.finder.monitor) mà bạn không cố tình thêm vào không .
• Theo dõi nhiều tiến trình Finder trong Activity Monitor, đặc biệt là tiến trình không có cửa sổ hiển thị .