PamStealer macOS 惡意軟體：利用 Apple PAM 驗證密碼，精準竊取你的 Mac 帳密

macOS 用戶當心了！一種名為 PamStealer 的全新惡意軟體正在網路流竄，它的手法相當狡猾——不會照單全收受害者輸入的任何密碼，而是會先利用 Apple 自己的可插拔認證模組（PAM）進行驗證，確認密碼正確無誤後，才會將它偷走。這也意味著攻擊者只會取得「有效」的登入憑證，而非使用者誤打誤撞的錯誤輸入。PamStealer 由資安公司 Jamf Threat Labs 在 2026 年 7 月 2 日首次揭露，堪稱 macOS 帳密竊取手法的一次「進化」。

PamStealer 如何透過「搶註域名」感染受害者

這款惡意軟體是從一個名為 maccyapp[.]com 的假冒網站散播，這個網站刻意模仿正版 Maccy 剪貼簿管理工具（Maccy）的官方頁面。真正的 Maccy 僅能從官方網域 maccy.app、Homebrew 套件管理工具或其 GitHub 官方儲存庫取得。Maccy 的官方網站也特別警告使用者，網路上存在這類山寨頁面。

當受害者瀏覽這個偽造的網站時，會下載到一個磁碟映像檔（.dmg），裡面包含一個名為 Maccy.scpt 的已編譯 AppleScript 檔案。需要特別注意的是，正版的 Maccy 從未以 DMG 格式發佈，其安裝檔向來是 Maccy.app.zip。

當使用者雙擊這個 .scpt 檔案時，macOS 系統會自動使用「編寫指令碼」（Script Editor）應用程式將它開啟。檔案可見的部分會顯示品牌化的說明文字，指示使用者按下 ⌘+R 來「開始使用」（get started），但實際的惡意程式碼則是被隱藏在檔案後方大量的空白行之後。這段文字還使用了希臘文與西里爾文的同形異字（homoglyphs）來拼寫「Maccy」這個單字，藉此繞過以文字特徵為基礎的掃描偵測機制。

PamStealer 會竊取哪些資料？

這個以 Rust 語言開發的第二階段 Mach-O 竊密軟體（infostealer），會收集範圍廣泛的敏感資訊：

• 登入密碼——透過一個原生的 NSAlert 對話框，顯示「Maccy 想進行更改。請輸入你的密碼以允許此操作。」等文字來騙取密碼，然後在本地端透過 PAM 進行驗證（使用 pam_start、pam_authenticate、pam_end 等系統呼叫），過程中完全不會有可見的終端機活動。
• 鑰匙圈資料——在運行時載入 Security.framework（而非存在於靜態匯入表中），藉此讀取 macOS 鑰匙圈中儲存的密碼。
• 瀏覽器憑證、Cookie 與錢包擴充套件資料——直接使用內建的 SQLite 讀取呼叫打開瀏覽器的憑證資料庫。
• 剪貼簿內容——反覆執行 macOS 內建的 pbpaste 工具，監控並竊取使用者複製的任何內容。
• 完整磁碟存取權限目標——如果使用者後續授予完整磁碟存取權（FDA，通常在安裝後延遲最多 40 分鐘才會跳出提示），則連受保護的檔案也能存取。
• 加密貨幣錢包偵查——其 C2（命令與控制）設定檔中包含以太坊的 JSON-RPC 端點，且已被發現實際上會連線至 ethereum-rpc.publicnode[.]com。

所有被盜取的資料都會以 ChaCha20-Poly1305 演算法加密，接著透過 HTTPS 傳送至 C2 伺服器（目前已觀察到的網域為 avenger-sync[.]live 和 avengerflow[.]com），並包裝成一個 MacOSapp1{"data":"..."} 的 JSON 格式封包。

感染跡象（入侵指標）

「編寫指令碼」的程式碼簽署觸發行為

在啟動惡意載荷之前，這個載入程式（dropper）會使用

codesign -fs - --deep

使用 pbpaste 的假「Finder」程序

第二階段的惡意載荷會被放置在一個名為 Finder.app 的套件中，其套件識別碼為 com.apple.finder.monitor，並會從 /System/Library/CoreServices/ 目錄中複製真正的 Finder 圖示（Finder.icns）來使用。隨後，它會啟動 pbpaste 來竊取剪貼簿資料。因此，你在「活動監視器」中可能會看到一個第二個 Finder 程序在執行，但它並未顯示任何視窗──這是一個非常可疑的異常現象。

使用複製系統圖示的新登入項目

PamStealer 會透過登入項目（Login Items，而非 LaunchAgents/LaunchDaemons）建立持續化機制，同時使用現代的 SMAppService API 與舊式的 LSSharedFileList API。其惡意套件會以 com.apple.finder.monitor 和 com.apple.security.daemon（偽裝成軟體更新）的名稱存在。由於系統設定中的「登入項目」面板不會顯示完整的路徑，因此這些惡意項目看起來就像是合法的系統條目。

其他跡象

• 一個名為 .Maccy 的標記檔案會被一併放置在惡意套件的旁邊。
• 載入程式會透過原生的 Objective-C API（NSURLSession）執行一個JavaScript for Automation（JXA） 載荷，與典型的 curl/osascript 下載器相比，能產生較少的程序創建痕跡。
• 地理圍欄機制：如果系統的時區、地區設定、鍵盤佈局或國家代碼符合俄羅斯、白俄羅斯、哈薩克及其他 8 個獨立國協（CIS）國家，惡意軟體會中止執行。

使用者該如何自保？

• 僅從合法網域 maccy.app 下載 Maccy，或透過 Homebrew、官方 GitHub 儲存庫安裝。這個專案是開放原始碼（MIT 授權），由開發者 Alexey Rodionov 維護（團隊識別碼：MN3X4648SC）。
• 絕對不要在「編寫指令碼」中開啟來路不明的 .scpt 檔案，然後按下執行按鈕。 沒有任何合法的 macOS 應用程式會要求你這樣做。
• 仔細審視任何非預期出現的管理員密碼提示。 PamStealer 的對話框會顯示「Maccy 想進行更改」，但如果你是從官方來源安裝剪貼簿管理器，真正的 Maccy 應用程式並不需要你的密碼來完成安裝。
• 對延遲出現的「完整磁碟存取權」請求保持警覺。 如果某個應用程式在安裝 30 到 40 分鐘後，毫無理由地要求完整磁碟存取權限，那極有可能是惡意軟體在等待時機，以規避責任歸屬。
• 檢查登入項目。 前往「系統設定」→「一般」→「登入項目」，查看是否有可疑的、以系統元件名稱命名的項目（例如 com.apple.finder.monitor），且確定不是你主動加入的。
• 在「活動監視器」中監控是否有多個 Finder 程序。 尤其要注意那些沒有可見視窗的程序。