当用户访问这个假冒网站时，会被诱导下载一个磁盘映像文件（.dmg），其中包含一个名为 Maccy.scpt 的编译版 AppleScript 文件 。值得注意的是，正版 Maccy 从未以 DMG 文件形式分发，其唯一的安装包格式为 Maccy.app.zip 。

在 macOS 中，双击 .scpt 文件默认会通过 脚本编辑器 (Script Editor） 打开。PamStealer 利用这一点，在文件的可视区域显示经过品牌化包装的操作指南，告诉用户按下 ⌘+R 组合键“开始使用”。然而，真正的恶意代码被隐藏在一大段空白行之后 。该提示文字还使用了希腊语和西里尔字母的同形异码字（homoglyphs）来拼写“Maccy”一词，以此规避基于文本的扫描引擎 。

PamStealer 窃取哪些数据？

一旦用户上当并运行了脚本，它便会下载并执行第二阶段的有效载荷——一个用 Rust 语言编写的 Mach-O 二进制文件。这个信息窃取器功能强大，会收集以下敏感信息 ：

• 系统登录密码：弹出一个原生 NSAlert 对话框，内容为“Maccy 想要进行更改。输入您的密码以允许此操作”。用户输入的密码会通过 PAM 框架（pam_start、pam_authenticate、pam_end）进行本地验证，整个过程无需打开可见的“终端”窗口 。
• 钥匙串条目：在运行时动态加载 Security.framework，从 macOS 钥匙串中提取密码 。
• 浏览器凭据、Cookies 和钱包扩展数据：直接使用内置的 SQLite 读取功能打开浏览器凭据数据库 。
• 剪贴板内容：反复调用系统自带的 pbpaste 工具，持续监控并窃取用户复制到剪贴板的所有内容 。
• “完全磁盘访问权限”目标：恶意软件在感染后会等待长达 40 分钟，然后才请求“完全磁盘访问权限 (FDA）”。一旦用户授权，其能访问的文件范围将大幅增加 。
• 加密货币钱包侦查：其命令与控制服务器的配置中包含以太坊 JSON-RPC 端点，实践中已发现其连接至 ethereum-rpc.publicnode[.]com 。

所有窃取的数据会使用 ChaCha20-Poly1305 算法进行加密，并通过 HTTPS 协议传输到命令与控制（C2）服务器（已观测到的域名为 avenger-sync[.]live 和 avengerflow[.]com），数据被封装在一个 MacOSapp1{"data":"..."} 的 JSON 结构中 。

感染迹象（入侵指标 IOCs）

脚本编辑器的代码签名触发

在启动有效载荷前，初始下载器会使用 codesign -fs - --deep 命令对假冒的应用进行临时签名（ad-hoc signing）（而非合法的开发者 ID 签名），然后以无窗口、无 Dock 图标的隐藏模式启动它 。恶意软件还会在运行前检查调试工具和系统完整性保护（SIP）的状态 。

名为“Finder”的虚假进程与 pbpaste 行为

第二阶段的恶意载荷被放置在一个名为 Finder.app 的应用程序包中，其包标识符为 com.apple.finder.monitor，并且从 /System/Library/CoreServices/ 目录下复制了真正的 Finder.icns 图标 。随后它会调用 pbpaste 来窃取剪贴板数据。因此，在“活动监视器”中可能会出现两个 Finder 进程，其中一个负责执行剪贴板读取操作，这是一个非常明显的异常信号 。

带有复制系统图标的新型登录项

PamStealer 通过 登录项 (Login Items） 实现持久化（而非使用 LaunchAgents/LaunchDaemons），它同时使用了现代的 SMAppService 和传统的 LSSharedFileList API。恶意软件被伪装成系统组件，其内部名为：com.apple.finder.monitor 和 com.apple.security.daemon（伪装成软件更新）。由于系统设置中的“登录项”面板不显示完整路径，这些恶意条目看起来就像合法的系统程序 。

其他迹象

• 在暂存的应用包旁会生成一个名为 .Maccy 的标记文件 。
• 初始下载器通过原生的 ObjC API（NSURLSession）执行 JavaScript for Automation (JXA） 载荷，相比典型的 curl/osascript 下载器，这种做法产生的进程创建痕迹更少 。
• 地理围栏：如果系统时区、语言区域、键盘布局或国家代码匹配俄罗斯、白俄罗斯、哈萨克斯坦等 11 个独联体国家，恶意软件将中止执行 。

用户如何保护自己

1. 只从官方来源下载：始终通过官方域名 maccy.app、Homebrew 或官方 GitHub 仓库下载 Maccy。该正版项目为开源项目（MIT 许可），由开发者 Alexey Rodionov（团队标识符 MN3X4648SC）维护 。
2. 警惕 Script Editor 操作：永远不要打开从网上下载的磁盘映像中的 .scpt 文件并按下“运行”按钮。没有任何合法的 macOS 应用会要求用户这样做 。
3. 仔细核对密码提示窗：PamStealer 弹出的对话框是“Maccy wants to make changes”。请记住，从正规渠道安装一个剪贴板管理器，系统绝不会要求你输入管理员密码 。
4. 对延迟的“完全磁盘访问权限”请求保持警惕：如果某个应用在安装 30-40 分钟后，无故请求“完全磁盘访问权限”，这很可能是为了逃避归因的恶意软件 。
5. 检查登录项：前往“系统设置” → “通用” → “登录项”，仔细检查是否有可疑条目，尤其是那些名称模仿系统组件（如 com.apple.finder.monitor）且并非你主动添加的 。
6. 监控 Finder 进程：在“活动监视器”中留意是否存在多个 Finder 进程，特别是其中一个没有可见窗口 。

当用户访问这个假冒网站时，会被诱导下载一个磁盘映像文件（.dmg），其中包含一个名为 Maccy.scpt 的编译版 AppleScript 文件 。值得注意的是，正版 Maccy 从未以 DMG 文件形式分发，其唯一的安装包格式为 Maccy.app.zip 。

在 macOS 中，双击 .scpt 文件默认会通过 脚本编辑器 (Script Editor） 打开。PamStealer 利用这一点，在文件的可视区域显示经过品牌化包装的操作指南，告诉用户按下 ⌘+R 组合键“开始使用”。然而，真正的恶意代码被隐藏在一大段空白行之后 。该提示文字还使用了希腊语和西里尔字母的同形异码字（homoglyphs）来拼写“Maccy”一词，以此规避基于文本的扫描引擎 。

PamStealer 窃取哪些数据？

一旦用户上当并运行了脚本，它便会下载并执行第二阶段的有效载荷——一个用 Rust 语言编写的 Mach-O 二进制文件。这个信息窃取器功能强大，会收集以下敏感信息 ：

• 系统登录密码：弹出一个原生 NSAlert 对话框，内容为“Maccy 想要进行更改。输入您的密码以允许此操作”。用户输入的密码会通过 PAM 框架（pam_start、pam_authenticate、pam_end）进行本地验证，整个过程无需打开可见的“终端”窗口 。
• 钥匙串条目：在运行时动态加载 Security.framework，从 macOS 钥匙串中提取密码 。
• 浏览器凭据、Cookies 和钱包扩展数据：直接使用内置的 SQLite 读取功能打开浏览器凭据数据库 。
• 剪贴板内容：反复调用系统自带的 pbpaste 工具，持续监控并窃取用户复制到剪贴板的所有内容 。
• “完全磁盘访问权限”目标：恶意软件在感染后会等待长达 40 分钟，然后才请求“完全磁盘访问权限 (FDA）”。一旦用户授权，其能访问的文件范围将大幅增加 。
• 加密货币钱包侦查：其命令与控制服务器的配置中包含以太坊 JSON-RPC 端点，实践中已发现其连接至 ethereum-rpc.publicnode[.]com 。

所有窃取的数据会使用 ChaCha20-Poly1305 算法进行加密，并通过 HTTPS 协议传输到命令与控制（C2）服务器（已观测到的域名为 avenger-sync[.]live 和 avengerflow[.]com），数据被封装在一个 MacOSapp1{"data":"..."} 的 JSON 结构中 。

感染迹象（入侵指标 IOCs）

脚本编辑器的代码签名触发

在启动有效载荷前，初始下载器会使用 codesign -fs - --deep 命令对假冒的应用进行临时签名（ad-hoc signing）（而非合法的开发者 ID 签名），然后以无窗口、无 Dock 图标的隐藏模式启动它 。恶意软件还会在运行前检查调试工具和系统完整性保护（SIP）的状态 。

名为“Finder”的虚假进程与 pbpaste 行为

第二阶段的恶意载荷被放置在一个名为 Finder.app 的应用程序包中，其包标识符为 com.apple.finder.monitor，并且从 /System/Library/CoreServices/ 目录下复制了真正的 Finder.icns 图标 。随后它会调用 pbpaste 来窃取剪贴板数据。因此，在“活动监视器”中可能会出现两个 Finder 进程，其中一个负责执行剪贴板读取操作，这是一个非常明显的异常信号 。

带有复制系统图标的新型登录项

PamStealer 通过 登录项 (Login Items） 实现持久化（而非使用 LaunchAgents/LaunchDaemons），它同时使用了现代的 SMAppService 和传统的 LSSharedFileList API。恶意软件被伪装成系统组件，其内部名为：com.apple.finder.monitor 和 com.apple.security.daemon（伪装成软件更新）。由于系统设置中的“登录项”面板不显示完整路径，这些恶意条目看起来就像合法的系统程序 。

其他迹象

• 在暂存的应用包旁会生成一个名为 .Maccy 的标记文件 。
• 初始下载器通过原生的 ObjC API（NSURLSession）执行 JavaScript for Automation (JXA） 载荷，相比典型的 curl/osascript 下载器，这种做法产生的进程创建痕迹更少 。
• 地理围栏：如果系统时区、语言区域、键盘布局或国家代码匹配俄罗斯、白俄罗斯、哈萨克斯坦等 11 个独联体国家，恶意软件将中止执行 。

用户如何保护自己

1. 只从官方来源下载：始终通过官方域名 maccy.app、Homebrew 或官方 GitHub 仓库下载 Maccy。该正版项目为开源项目（MIT 许可），由开发者 Alexey Rodionov（团队标识符 MN3X4648SC）维护 。
2. 警惕 Script Editor 操作：永远不要打开从网上下载的磁盘映像中的 .scpt 文件并按下“运行”按钮。没有任何合法的 macOS 应用会要求用户这样做 。
3. 仔细核对密码提示窗：PamStealer 弹出的对话框是“Maccy wants to make changes”。请记住，从正规渠道安装一个剪贴板管理器，系统绝不会要求你输入管理员密码 。
4. 对延迟的“完全磁盘访问权限”请求保持警惕：如果某个应用在安装 30-40 分钟后，无故请求“完全磁盘访问权限”，这很可能是为了逃避归因的恶意软件 。
5. 检查登录项：前往“系统设置” → “通用” → “登录项”，仔细检查是否有可疑条目，尤其是那些名称模仿系统组件（如 com.apple.finder.monitor）且并非你主动添加的 。
6. 监控 Finder 进程：在“活动监视器”中留意是否存在多个 Finder 进程，特别是其中一个没有可见窗口 。