PamStealer macOS 恶意软件：利用苹果 PAM 验证密码，专偷 Mac 用户敏感信息

macOS 用户正面临一种新型信息窃取恶意软件（Infostealer）的威胁。安全公司 Jamf Threat Labs 于 2026 年 7 月 2 日披露了一款名为 PamStealer 的恶意程序，其最显著的特点是，它并非盲目收集用户输入的密码，而是会通过苹果系统内置的可插拔认证模块 (Pluggable Authentication Modules，PAM） 对密码进行本地验证，确认有效后才进行窃取 。这意味着攻击者得到的是能直接使用的真实密码，而非用户误输的“垃圾信息”。PamStealer 的出现，标志着 macOS 平台上的凭据窃取手段再次升级。

PamStealer 如何通过“域名抢注”实施感染

PamStealer 的分发渠道是一个精心设计的伪造网站——maccyapp[.]com。该网站模仿了 macOS 上一款流行的开源剪贴板管理器 Maccy。Maccy 的官方分发渠道只有其域名 maccy.app、Homebrew 包管理器或官方 GitHub 仓库 。正版 Maccy 的官网已明确发出警告，提醒用户留意这些高仿冒牌网站 。

当用户访问这个假冒网站时，会被诱导下载一个磁盘映像文件（.dmg），其中包含一个名为 Maccy.scpt 的编译版 AppleScript 文件 。值得注意的是，正版 Maccy 从未以 DMG 文件形式分发，其唯一的安装包格式为 Maccy.app.zip 。

在 macOS 中，双击 .scpt 文件默认会通过 脚本编辑器 (Script Editor） 打开。PamStealer 利用这一点，在文件的可视区域显示经过品牌化包装的操作指南，告诉用户按下 ⌘+R 组合键“开始使用”。然而，真正的恶意代码被隐藏在一大段空白行之后 。该提示文字还使用了希腊语和西里尔字母的同形异码字（homoglyphs）来拼写“Maccy”一词，以此规避基于文本的扫描引擎 。

PamStealer 窃取哪些数据？

一旦用户上当并运行了脚本，它便会下载并执行第二阶段的有效载荷——一个用 Rust 语言编写的 Mach-O 二进制文件。这个信息窃取器功能强大，会收集以下敏感信息 ：

• 系统登录密码：弹出一个原生 NSAlert 对话框，内容为“Maccy 想要进行更改。输入您的密码以允许此操作”。用户输入的密码会通过 PAM 框架（pam_start、pam_authenticate、pam_end）进行本地验证，整个过程无需打开可见的“终端”窗口 。
• 钥匙串条目：在运行时动态加载 Security.framework，从 macOS 钥匙串中提取密码 。
• 浏览器凭据、Cookies 和钱包扩展数据：直接使用内置的 SQLite 读取功能打开浏览器凭据数据库 。
• 剪贴板内容：反复调用系统自带的 pbpaste 工具，持续监控并窃取用户复制到剪贴板的所有内容 。
• “完全磁盘访问权限”目标：恶意软件在感染后会等待长达 40 分钟，然后才请求“完全磁盘访问权限 (FDA）”。一旦用户授权，其能访问的文件范围将大幅增加 。
• 加密货币钱包侦查：其命令与控制服务器的配置中包含以太坊 JSON-RPC 端点，实践中已发现其连接至 ethereum-rpc.publicnode[.]com 。

所有窃取的数据会使用 ChaCha20-Poly1305 算法进行加密，并通过 HTTPS 协议传输到命令与控制（C2）服务器（已观测到的域名为 avenger-sync[.]live 和 avengerflow[.]com），数据被封装在一个 MacOSapp1{"data":"..."} 的 JSON 结构中 。

感染迹象（入侵指标 IOCs）

脚本编辑器的代码签名触发

在启动有效载荷前，初始下载器会使用

codesign -fs - --deep

名为“Finder”的虚假进程与 pbpaste 行为

第二阶段的恶意载荷被放置在一个名为 Finder.app 的应用程序包中，其包标识符为 com.apple.finder.monitor，并且从 /System/Library/CoreServices/ 目录下复制了真正的 Finder.icns 图标 。随后它会调用 pbpaste 来窃取剪贴板数据。因此，在“活动监视器”中可能会出现两个 Finder 进程，其中一个负责执行剪贴板读取操作，这是一个非常明显的异常信号 。

带有复制系统图标的新型登录项

PamStealer 通过 登录项 (Login Items） 实现持久化（而非使用 LaunchAgents/LaunchDaemons），它同时使用了现代的 SMAppService 和传统的 LSSharedFileList API。恶意软件被伪装成系统组件，其内部名为：com.apple.finder.monitor 和 com.apple.security.daemon（伪装成软件更新）。由于系统设置中的“登录项”面板不显示完整路径，这些恶意条目看起来就像合法的系统程序 。

其他迹象

• 在暂存的应用包旁会生成一个名为 .Maccy 的标记文件 。
• 初始下载器通过原生的 ObjC API（NSURLSession）执行 JavaScript for Automation (JXA） 载荷，相比典型的 curl/osascript 下载器，这种做法产生的进程创建痕迹更少 。
• 地理围栏：如果系统时区、语言区域、键盘布局或国家代码匹配俄罗斯、白俄罗斯、哈萨克斯坦等 11 个独联体国家，恶意软件将中止执行 。

用户如何保护自己

1. 只从官方来源下载：始终通过官方域名 maccy.app、Homebrew 或官方 GitHub 仓库下载 Maccy。该正版项目为开源项目（MIT 许可），由开发者 Alexey Rodionov（团队标识符 MN3X4648SC）维护 。
2. 警惕 Script Editor 操作：永远不要打开从网上下载的磁盘映像中的 .scpt 文件并按下“运行”按钮。没有任何合法的 macOS 应用会要求用户这样做 。
3. 仔细核对密码提示窗：PamStealer 弹出的对话框是“Maccy wants to make changes”。请记住，从正规渠道安装一个剪贴板管理器，系统绝不会要求你输入管理员密码 。
4. 对延迟的“完全磁盘访问权限”请求保持警惕：如果某个应用在安装 30-40 分钟后，无故请求“完全磁盘访问权限”，这很可能是为了逃避归因的恶意软件 。
5. 检查登录项：前往“系统设置” → “通用” → “登录项”，仔细检查是否有可疑条目，尤其是那些名称模仿系统组件（如 com.apple.finder.monitor）且并非你主动添加的 。
6. 监控 Finder 进程：在“活动监视器”中留意是否存在多个 Finder 进程，特别是其中一个没有可见窗口 。