PamStealer lừa tải giả mạo Maccy, dùng PAM để đánh cắp mật khẩu đăng nhập macOS
"Researchers identified PamStealer, a new macOS infostealer distributed as a compiled AppleScript disguised as the Maccy clipboard manager and delivered through fake lookalike websites. The malware uses host fingerprinting, PAM-based password validation, and a Rust second stage to steal credentials, browser and wallet data, iCloud Keychain content, and clipboard data, then exfiltrates it to attacker infrastructure; no CVE is associated with this campaign."
Tác động lớn đến bảo mật do đánh cắp mật khẩu qua PAM và thu thập nhiều nguồn dữ liệu nhạy cảm như iCloud Keychain; dữ liệu sau đó được mã hóa và exfiltrate ra ngoài.
Nguy cơ gián đoạn và tổn thất tài khoản ở mức người dùng cuối, đặc biệt khi mật khẩu bị lộ và dữ liệu ví/clipboard bị thu thập; cần tăng chi phí xử lý sự cố và hỗ trợ khôi phục tài khoản.
Các nhà nghiên cứu ghi nhận một macOS infostealer mới mang tên PamStealer, nhắm vào việc thu thập thông tin nhạy cảm và đánh cắp mật khẩu đăng nhập. Mã độc được phát tán dưới dạng AppleScript đã biên dịch (.scpt), giả mạo Maccy (trình quản lý clipboard hợp pháp), đồng thời được đưa tới nạn nhân qua các website giả mạo có tên gần giống.
Chuỗi lây nhiễm diễn ra theo hai giai đoạn. Trước hết, AppleScript trong một disk image đóng vai trò bộ tải, thực thi logic độc hại thông qua JXA downloader và dùng API gốc để tải payload. Giai đoạn sau là một nhị phân viết bằng Rust, có khả năng thu thập dữ liệu trình duyệt, dữ liệu ví tiền mã hóa, nội dung iCloud Keychain và dữ liệu clipboard, sau đó mã hóa và exfiltrate về hạ tầng do kẻ tấn công kiểm soát qua HTTP (ví dụ avenger-sync[.]live).
Điểm đáng chú ý là cơ chế thu mật khẩu: malware hiển thị prompt thu mật khẩu và xác thực cục bộ qua PAM. Nếu sai, nó yêu cầu nhập lại theo vòng lặp cho đến khi đúng. Ngoài ra, mã độc dùng host fingerprinting (chỉ tiếp tục khi phù hợp, ví dụ Apple Silicon) và tránh môi trường sandbox/kiểm thử. Không có CVE được gắn với chiến dịch này.
Khuyến nghị: rà soát truy cập tới tên miền giả mạo như maccyapp[.]com, chặn tải từ nguồn không tin cậy, tăng giám sát prompt xác thực bất thường, và kiểm tra cơ chế persistence trên macOS.