PamStealer 入侵 Mac 手法曝光：呃你開 Script Editor 撳 ⌘+R，密碼、Keychain、加密錢包全部被盜

用 Apple 自己嘅 PAM 驗證密碼——唔係廢密碼都偷

一般 macOS 竊密軟體只係整個假對話框叫你入密碼，入咩就偷咩；但 PamStealer 嘅手法高明得多。佢利用 Apple 嘅 Pluggable Authentication Modules（PAM）——即係 macOS 本身用嚟驗證用戶登入嗰套機制——喺你輸入密碼之後即刻喺本地 run pam_start、pam_authenticate、pam_end，核對條密碼係咪真係用得 。如果打錯字，佢會直接丟棄唔偷，保證傳返俾攻擊者嘅一定係用得着嘅真密碼。呢一招令傳統靠記錄輸入內容嘅防護方式失效，因為你根本唔會見到任何可疑嘅 shell 活動 。

點樣中招？山寨 Maccy 網站呃你開 Script Editor

PamStealer 嘅散播方式係域名騎劫（typosquatting），用一個叫 maccyapp[.]com 嘅山寨網站模仿正牌 Maccy 剪貼簿管理器。正牌 Maccy 嘅官方網址係 maccy.app，亦可以經 Homebrew 或官方 GitHub 下載 ；正版網站已經有警告用戶提防假冒頁面 。

當你誤入假網站，佢會叫你下載一個磁碟映像檔（.dmg），裡面有一個編譯好嘅 AppleScript 檔案叫做 Maccy.scpt 。留意返：正版 Maccy 從來冇用過 DMG 格式發佈，只會以 Maccy.app.zip 形式提供 。

喺 macOS 度雙擊 .scpt 檔案，系統會預設用 Script Editor 打開。個檔案嘅可見部分係一段好似好正常嘅指示，叫你按 ⌘+R「開始使用」，但真正嘅惡意碼就藏喺大量空白行之後，螢幕上根本睇唔到 。仲要提一提，佢喺「Maccy」呢個字入面混入咗希臘文同西里爾字母嘅同形字（homoglyphs），企圖避開以文字為基礎嘅掃描偵測 。

偷咩資料？密碼、Keychain、瀏覽器、剪貼簿、加密錢包全部中招

一旦執行咗 Script Editor 嗰步，第二階段嘅 Rust 寫成 Mach-O 執行檔就會開始行動，收集大量敏感資料 ：

• Login 密碼——彈出一個本地 NSAlert 對話框，寫住「Maccy wants to make changes. Enter your password to allow this.」，然後經 PAM 驗證先至偷走 。
• Keychain 內容——執行期間動態載入 Security.framework（靜態匯入表睇唔到），直接抽取 macOS Keychain 嘅密碼 。
• 瀏覽器憑證、Cookies 同錢包擴充功能資料——直接用內置嘅 SQLite 讀取功能打開 credential 資料庫 。
• 剪貼簿內容——不斷執行系統內置嘅 pbpaste 指令監控你複製嘅任何內容 。
• Full Disk Access 目標——如果之後你俾咗 FDA 權限（佢會等 30 至 40 分鐘先問，務求避開即時關聯），受保護嘅檔案都會任佢睇 。
• 加密貨幣錢包偵察——C2 設定入面有 Ethereum JSON-RPC 端點，實際觀察到佢連接過 ethereum-rpc.publicnode[.]com 。

所有偷到嘅資料會先用 ChaCha20-Poly1305 加密，然後經 HTTPS 傳送到 C2 伺服器（已觀察到嘅域名包括 avenger-sync[.]live 同 avengerflow[.]com），外層包裝成 MacOSapp1{"data":"..."} JSON 格式 。

中咗招點睇？五個感染跡象你要知

1. Script Editor 執行 ad-hoc 簽署嘅假應用

個 dropper 會用

codesign -fs - --deep

2. Activity Monitor 出現「第二個 Finder」不停用 pbpaste

第二階段 payload 被放入一個名為 Finder.app 嘅套件入面，bundle identifier 係 com.apple.finder.monitor，仲大膽到直接由 /System/Library/CoreServices/ 複製真正嘅 Finder.icns 圖示 。之後佢會不斷 spawn pbpaste 嚟偷剪貼簿內容，所以 Activity Monitor 會見到兩個 Finder 程序，其中一個仲要不停做 clipboard read——呢個係好強烈嘅異常訊號 。

3. Login Items 出現偽裝系統嘅可疑條目

PamStealer 嘅持久化方式係透過 Login Items（唔係傳統嘅 LaunchAgents/LaunchDaemons），同時用咗現代嘅 SMAppService API 同舊嘅 LSSharedFileList API。惡意條目包括：com.apple.finder.monitor 同 com.apple.security.daemon（扮 Software Update）。由於系統設定嘅 Login Items 面板唔會顯示完整路徑，呢啲條目睇落同真正嘅系統組件一模一樣 。

4. 防護軟體可能見到 .Maccy 標記檔案

喺 staging bundle 旁邊會有一個名為 .Maccy 嘅標記檔案被放下 。

5. 地理位置封鎖：特定國家/地區唔會執行

PamStealer 有地理圍欄機制：如果偵測到時區、地區設定、鍵盤佈局或國家代碼係俄羅斯、白俄羅斯、哈薩克斯坦或其他 8 個 CIS 國家，就會直接中止執行，唔會偷當地人 。

點樣自保？六個實用建議

• 只從 maccy.app 下載 Maccy，或者經 Homebrew / 官方 GitHub 安裝。正版係開源 MIT 授權，由開發者 Alexey Rodionov 維護（Team Identifier MN3X4648SC）。
• 絕對唔好喺 Script Editor 打開嚟自 DMG 嘅 .scpt 檔案然後按執行。冇任何正規 macOS 應用會叫你咁做 。
• 對突如期來嘅管理員密碼提示要保持警覺。PamStealer 嘅對話框寫住「Maccy wants to make changes」——但係一個剪貼簿管理器唔應該需要你嘅密碼先安裝得到 。
• 小心延遲出現嘅 Full Disk Access 請求。如果一個 app 裝完 30 至 40 分鐘之後先問 FDA，又講唔出合理原因，好大機會係惡意軟體 。
• 定期檢查 Login Items（系統設定 → 一般 → 登入項目），睇下有無貌似系統組件但你完全唔記得加過嘅條目，例如 com.apple.finder.monitor 。
• 開 Activity Monitor 睇下有無多咗個 Finder 程序，特別係嗰個冇可見視窗嘅 。