PamStealer macOS 惡意軟體：利用 Apple PAM 驗證密碼，精準竊取你的 Mac 帳密

當使用者雙擊這個 .scpt 檔案時，macOS 系統會自動使用「編寫指令碼」（Script Editor）應用程式將它開啟。檔案可見的部分會顯示品牌化的說明文字，指示使用者按下 ⌘+R 來「開始使用」（get started），但實際的惡意程式碼則是被隱藏在檔案後方大量的空白行之後^JP。這段文字還使用了希臘文與西里爾文的同形異字（homoglyphs）來拼寫「Maccy」這個單字，藉此繞過以文字特徵為基礎的掃描偵測機制^JF。

PamStealer 會竊取哪些資料？

這個以 Rust 語言開發的第二階段 Mach-O 竊密軟體（infostealer），會收集範圍廣泛的敏感資訊^J：

• 登入密碼——透過一個原生的 NSAlert 對話框，顯示「Maccy 想進行更改。請輸入你的密碼以允許此操作。」等文字來騙取密碼，然後在本地端透過 PAM 進行驗證（使用 pam_start、pam_authenticate、pam_end 等系統呼叫），過程中完全不會有可見的終端機活動^J。
• 鑰匙圈資料——在運行時載入 Security.framework（而非存在於靜態匯入表中），藉此讀取 macOS 鑰匙圈中儲存的密碼^J。
• 瀏覽器憑證、Cookie 與錢包擴充套件資料——直接使用內建的 SQLite 讀取呼叫打開瀏覽器的憑證資料庫^J。
• 剪貼簿內容——反覆執行 macOS 內建的 pbpaste 工具，監控並竊取使用者複製的任何內容^JF。
• 完整磁碟存取權限目標——如果使用者後續授予完整磁碟存取權（FDA，通常在安裝後延遲最多 40 分鐘才會跳出提示），則連受保護的檔案也能存取^F。
• 加密貨幣錢包偵查——其 C2（命令與控制）設定檔中包含以太坊的 JSON-RPC 端點，且已被發現實際上會連線至 ethereum-rpc.publicnode[.]com^J。

所有被盜取的資料都會以 ChaCha20-Poly1305 演算法加密，接著透過 HTTPS 傳送至 C2 伺服器（目前已觀察到的網域為 avenger-sync[.]live 和 avengerflow[.]com），並包裝成一個 MacOSapp1{"data":"..."} 的 JSON 格式封包^JP。

感染跡象（入侵指標）

「編寫指令碼」的程式碼簽署觸發行為

在啟動惡意載荷之前，這個載入程式（dropper）會使用 codesign -fs - --deep 指令對偽造的應用程式套件進行「即席簽署」（ad-hoc sign，而非使用合法的開發者 ID 簽署），然後將它以隱藏方式啟動，且不會在視窗或 Dock 中顯示^J。此外，惡意軟體在執行前還會檢查系統上是否存在除錯工具，以及系統完整性保護（SIP）的狀態^F。

使用 pbpaste 的假「Finder」程序

第二階段的惡意載荷會被放置在一個名為 Finder.app 的套件中，其套件識別碼為 com.apple.finder.monitor，並會從 /System/Library/CoreServices/ 目錄中複製真正的 Finder 圖示（Finder.icns）來使用^JP。隨後，它會啟動 pbpaste 來竊取剪貼簿資料。因此，你在「活動監視器」中可能會看到一個第二個 Finder 程序在執行，但它並未顯示任何視窗──這是一個非常可疑的異常現象^J。

使用複製系統圖示的新登入項目

PamStealer 會透過登入項目（Login Items，而非 LaunchAgents/LaunchDaemons）建立持續化機制，同時使用現代的 SMAppService API 與舊式的 LSSharedFileList API。其惡意套件會以 com.apple.finder.monitor 和 com.apple.security.daemon（偽裝成軟體更新）的名稱存在^JPF。由於系統設定中的「登入項目」面板不會顯示完整的路徑，因此這些惡意項目看起來就像是合法的系統條目^PT。

其他跡象

• 一個名為 .Maccy 的標記檔案會被一併放置在惡意套件的旁邊^J。
• 載入程式會透過原生的 Objective-C API（NSURLSession）執行一個JavaScript for Automation（JXA） 載荷，與典型的 curl/osascript 下載器相比，能產生較少的程序創建痕跡^J。
• 地理圍欄機制：如果系統的時區、地區設定、鍵盤佈局或國家代碼符合俄羅斯、白俄羅斯、哈薩克及其他 8 個獨立國協（CIS）國家，惡意軟體會中止執行^JP。

使用者該如何自保？

• 僅從合法網域 maccy.app 下載 Maccy，或透過 Homebrew、官方 GitHub 儲存庫安裝。這個專案是開放原始碼（MIT 授權），由開發者 Alexey Rodionov 維護（團隊識別碼：MN3X4648SC）^JP。
• 絕對不要在「編寫指令碼」中開啟來路不明的 .scpt 檔案，然後按下執行按鈕。 沒有任何合法的 macOS 應用程式會要求你這樣做^JF。
• 仔細審視任何非預期出現的管理員密碼提示。 PamStealer 的對話框會顯示「Maccy 想進行更改」，但如果你是從官方來源安裝剪貼簿管理器，真正的 Maccy 應用程式並不需要你的密碼來完成安裝^J。
• 對延遲出現的「完整磁碟存取權」請求保持警覺。 如果某個應用程式在安裝 30 到 40 分鐘後，毫無理由地要求完整磁碟存取權限，那極有可能是惡意軟體在等待時機，以規避責任歸屬^F。
• 檢查登入項目。 前往「系統設定」→「一般」→「登入項目」，查看是否有可疑的、以系統元件名稱命名的項目（例如 com.apple.finder.monitor），且確定不是你主動加入的^PJ。
• 在「活動監視器」中監控是否有多個 Finder 程序。 尤其要注意那些沒有可見視窗的程序^J。